Istio JWKS oluvchisini proksisini sozlashdan oldin toping
Istio 1.31 olish rejimini tekshiring, so'ng istiodning Go HTTP yo'lini sozlang yoki Envoyning masofaviy kalit uzatishini ko'rib chiqing.
RequestAuthentication.jwksUri ilovani yuklovchi deb belgilamaydi. Istio 1.31 quyidagi PILOT_JWT_ENABLE_REMOTE_JWKS rejimlarini hujjatlashtiradi:
| Qiymat | Oluvchi |
|---|---|
| istiod / false | istiod |
| hybrid / true | Tashqi serverlar uchun istiod zaxirasi bilan Envoy |
| envoy | Envoy |
Tarmoqni tanlashdan oldin joylashtirilgan versiyani va boshqaruv tekisligining haqiqiy muhitini tekshiring.
istiod yo'li
Uning kalit yechuvchisi Go muhiti proksisini aniqlashdan foydalanadi. istiod Helm diagrammasi uchun quyidagi qiymatlarni birlashtiring:
env:
HTTPS_PROXY: http://proxy.example:8080
NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1Bu diagramma qiymatlarining bir qismi, resurs emas. Klasterning haqiqiy xizmat manzilini, DNS qo'shimchasini va ichki chetlab o'tishlarni ishlating, so'ng boshqariladigan joylashtirishni qo'llang. Ilova o'zgaruvchilari yoki ServiceEntry boshqa pod muhitini ta'minlay olmaydi. Agar JWKS URLlari ochiq bo'lsa va ochiq proksi orqali chiqishga ruxsat berilgan bo'lsa, HTTP proksilar ro'yxati istiodning HTTPS_PROXY qiymati uchun nomzodlar beradi; klasterning ichki chetlab o'tishlarini saqlang.
Envoy yo'li
Uning masofaviy JWKS klasteri va tarmoq yo'lini ko'rib chiqing. Manzilni meshda ro'yxatga olish o'z-o'zidan korporativ CONNECT sakrashini qo'shmaydi; istiod o'zgaruvchilari Envoy uzatishini sozlay olmaydi.