Tìm bộ tải JWKS của Istio trước khi đặt proxy cho nó
Kiểm tra chế độ tải của Istio 1.31, sau đó đặt tuyến HTTP Go của istiod hoặc xem xét vận chuyển khóa từ xa của Envoy.
RequestAuthentication.jwksUri không xác định ứng dụng là bên tải xuống. Istio 1.31 ghi nhận các chế độ PILOT_JWT_ENABLE_REMOTE_JWKS sau:
| Giá trị | Bộ tải |
|---|---|
| istiod / false | istiod |
| hybrid / true | Envoy có dự phòng istiod cho máy chủ bên ngoài |
| envoy | Envoy |
Xem xét phiên bản đã triển khai và môi trường mặt phẳng điều khiển thực tế trước khi chọn nhánh.
đường istiod
Bộ phân giải khóa của nó dùng tính năng phát hiện proxy từ môi trường Go. Với biểu đồ Helm của istiod, hợp nhất các giá trị như:
env:
HTTPS_PROXY: http://proxy.example:8080
NO_PROXY: localhost,127.0.0.1,.svc,.cluster.local,10.96.0.1Đây là một đoạn giá trị của biểu đồ, không phải tài nguyên. Dùng địa chỉ dịch vụ thực tế của cụm, hậu tố DNS và các đường bỏ qua nội bộ, rồi áp dụng triển khai được quản lý. Biến của ứng dụng hoặc ServiceEntry không thể cung cấp môi trường của pod khác. Nếu URL JWKS công khai và cho phép ra ngoài qua proxy công khai, danh sách proxy HTTP cung cấp ứng viên cho giá trị HTTPS_PROXY của istiod; giữ nguyên các đường bỏ qua nội bộ của cụm.
đường Envoy
Xem xét cụm JWKS từ xa và tuyến mạng của nó. Việc đăng ký đích vào mesh không tự nó thêm một bước CONNECT của doanh nghiệp; biến của istiod không thể cấu hình vận chuyển của Envoy.