UDS Core项目中Keycloak与Istio Ambient模式的集成实践

UDS Core项目中Keycloak与Istio Ambient模式的集成实践

uds-core A secure runtime platform for mission-critical capabilities 项目地址: https://gitcode.com/gh_mirrors/ud/uds-core

背景介绍

在现代云原生架构中，身份认证与授权服务是关键的基础组件。UDS Core项目采用了Keycloak作为其身份认证解决方案，同时使用Istio服务网格来管理服务间的通信安全。随着Istio Ambient模式的引入，原有的L7授权策略实现方式需要进行相应调整。

技术挑战

在传统Sidecar模式下，Keycloak的L7授权策略通过AuthorizationPolicy资源实现。但当迁移到Istio Ambient模式时，这些策略需要依赖Waypoint代理才能正常工作。这带来了几个关键挑战：

1. 需要确保Keycloak服务能够同时通过租户网关和管理网关访问
2. 必须保持从租户网关访问时的路径限制策略
3. 需要保证Pepr组件能够正常访问客户端注册功能

解决方案

Waypoint代理的引入

Istio Ambient模式中的Waypoint代理成为了解决这一问题的关键。通过为Keycloak配置Waypoint代理，我们能够：

• 继续使用原有的L7授权策略
• 保持精细化的路径访问控制
• 支持多网关访问场景

信任主机配置

在实现过程中，我们发现从Pepr组件发往Keycloak的流量会显示为来自不同的主机地址。这要求我们在Keycloak的信任主机策略中添加新的条目，具体需要包含Pepr服务的完整域名格式。

实现细节

多模式支持

为了确保解决方案的通用性，我们实现了对三种不同运行模式的支持：

1. 传统Sidecar模式
2. Ambient模式下的ztunnel
3. Waypoint代理模式

每种模式都有其特定的配置要求，特别是在信任主机设置方面需要特别注意。

自动化检测

为了提升用户体验，我们正在考虑实现自动化检测机制，可以根据运行时环境自动判断是否需要部署Waypoint代理。这可以通过以下方式之一实现：

• 在Pepr组件中添加自动检测逻辑
• 在UDS Package CRD中增加配置选项

经验总结

通过这次实践，我们获得了以下重要经验：

1. Istio Ambient模式下，Waypoint代理是支持高级授权策略的必要组件
2. 服务身份识别在不同模式下表现不同，需要特别注意信任主机配置
3. 自动化检测机制可以显著提升用户体验，减少手动配置

未来展望

随着Istio Ambient模式的成熟，我们计划进一步完善这方面的支持，包括：

1. 实现更智能的Waypoint代理部署策略
2. 优化多模式下的配置管理
3. 探索更多Ambient模式下的安全最佳实践

这些改进将使UDS Core项目在保持安全性的同时，能够更好地利用服务网格的最新特性。

uds-core A secure runtime platform for mission-critical capabilities 项目地址: https://gitcode.com/gh_mirrors/ud/uds-core