Nájdite v Istio sťahovač JWKS skôr, než nastavíte jeho proxy
Overte režim sťahovania v Istio 1.31, potom nastavte HTTP trasu Go v istiod alebo preskúmajte prenos vzdialených kľúčov v Envoy.
RequestAuthentication.jwksUri neoznačuje aplikáciu ako sťahovač. Istio 1.31 dokumentuje tieto režimy PILOT_JWT_ENABLE_REMOTE_JWKS:
| Hodnota | Sťahovač |
|---|---|
| istiod / false | istiod |
| hybrid / true | Envoy s návratom na istiod pre externé servery |
| envoy | Envoy |
Pred voľbou vetvy preskúmajte nasadenú verziu a skutočné prostredie riadiacej roviny.
cesta istiod
Jeho prekladač kľúčov používa zisťovanie proxy z prostredia Go. Pre Helm chart istiod zlúčte hodnoty ako:
env:
HTTPS_PROXY: http://proxy.example:8080
NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1Toto je fragment hodnôt chartu, nie prostriedok. Použite skutočnú adresu služby v klastri, príponu DNS a interné obchvaty, potom použite spravované nasadenie. Premenné aplikácie alebo ServiceEntry nemôžu poskytnúť prostredie iného podu. Ak sú adresy JWKS verejné a odchod cez verejnú proxy je povolený, zoznam HTTP proxy dodá kandidátov pre hodnotu HTTPS_PROXY v istiod; zachovajte interné obchvaty klastra.
cesta Envoy
Preskúmajte jeho klaster vzdialených JWKS a sieťovú trasu. Registrácia cieľa v mesh sama o sebe nepridá podnikový skok CONNECT; premenné istiod nemôžu nastaviť prenos Envoy.