Hanapin ang Istio JWKS fetcher bago itakda ang proxy nito

Suriin ang fetch mode ng Istio 1.31, pagkatapos itakda ang Go HTTP route ng istiod o siyasatin ang remote-key transport ng Envoy.

RequestAuthentication.jwksUri ay hindi tinutukoy ang application bilang ang downloader. Idinodokumento ng Istio 1.31 ang mga mode na PILOT_JWT_ENABLE_REMOTE_JWKS na ito:

HalagaFetcher
istiod / falseistiod
hybrid / trueEnvoy na may istiod fallback para sa mga panlabas na server
envoyEnvoy

Suriin ang deployed na bersyon at ang tunay na kapaligiran ng control plane bago pumili ng branch.

ruta ng istiod

Ginagamit ng key resolver nito ang pagtuklas ng proxy sa kapaligiran ng Go. Para sa istiod Helm chart, pagsamahin ang mga halaga tulad ng:

env:
  HTTPS_PROXY: http://proxy.example:8080
  NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1

Ito ay isang fragment ng chart values, hindi isang resource. Gamitin ang tunay na address ng serbisyo ng cluster, ang DNS suffix at ang mga panloob na bypass, pagkatapos ay ilapat ang pinamamahalaang rollout. Ang mga variable ng application o ServiceEntry ay hindi makapagbibigay ng kapaligiran ng ibang pod. Kung ang mga URL ng JWKS ay pampubliko at pinapayagan ang paglabas sa pamamagitan ng pampublikong proxy, ang listahan ng HTTP proxy ay nagbibigay ng mga kandidato para sa halaga ng HTTPS_PROXY ng istiod; panatilihin ang mga panloob na bypass ng cluster.

ruta ng Envoy

Suriin ang remote na JWKS cluster at ruta ng network nito. Ang pagpaparehistro ng destinasyon sa mesh ay hindi nagdadagdag nang sarili nito ng corporate CONNECT hop; hindi maaaring i-configure ng mga variable ng istiod ang transport ng Envoy.

Kaugnay na mga artikulo