Knative Kourier网关中Ext-authz服务的优化实践

Knative Kourier网关中Ext-authz服务的优化实践

net-kourier Purpose-built Knative Ingress implementation using just Envoy with no additional CRDs 项目地址: https://gitcode.com/gh_mirrors/ne/net-kourier

在Knative生态系统中，Kourier作为轻量级网关组件，提供了基于Envoy的高性能流量路由能力。本文将深入分析Kourier网关中外部授权服务(ext-authz)的工作机制，探讨当前实现存在的性能瓶颈，并提出一种基于路由级别的细粒度授权控制优化方案。

现有机制分析

当前Kourier实现中，当启用ext-authz功能时，所有到达网关外部监听器的请求都会被转发到外部授权服务进行验证。这一机制通过在HTTP连接管理器中全局添加ext-authz过滤器实现，导致无论服务是否需要认证，每个请求都会经过授权检查流程。

这种设计虽然实现简单，但存在明显的性能问题：

1. 对于无需认证的公共服务，仍然会产生不必要的授权服务调用
2. 增加了系统延迟，特别是在授权服务负载较高时
3. 造成了授权服务的资源浪费

典型应用场景

在实际生产环境中，通常存在两种服务访问模式：

1. 公共服务：允许任何知道URL的客户端访问，如公开API或静态网站
2. 私有服务：需要经过严格身份认证才能访问，如内部管理系统或敏感数据接口

现有的一刀切授权机制无法有效区分这两种场景，导致系统资源无法最优配置。

技术优化方案

基于Envoy提供的ExtAuthzPerRoute过滤器能力，我们提出以下优化方案：

1. 路由级授权控制：在路由配置层面而非监听器层面控制授权检查
2. 基于标签的授权策略：通过Knative服务的标签或注解声明授权需求
3. 智能过滤机制：仅对需要认证的服务路由启用ext-authz检查

具体实现上，可以：

• 为公共服务添加visibility: public标签，自动跳过授权检查
• 为私有服务保持默认行为或添加visibility: private标签，强制进行授权验证
• 未明确声明的服务保持向后兼容，默认进行授权检查

技术实现细节

Envoy的ExtAuthzPerRoute过滤器支持以下配置方式：

typed_per_filter_config:
  envoy.filters.http.ext_authz:
    "@type": type.googleapis.com/envoy.extensions.filters.http.ext_authz.v3.ExtAuthzPerRoute
    disabled: true

在Kourier生成路由配置时，可以根据服务标签动态添加此配置。对于公共服务路由，设置disabled: true以绕过授权检查；对于私有服务路由，则保持默认授权流程。

兼容性考虑

为确保平滑升级，方案设计需注意：

1. 默认行为保持不变，避免影响现有部署
2. 新增标签为可选配置，不强制要求
3. 授权服务需保持对未标记服务的默认处理逻辑

性能收益评估

实施此优化后，预期可获得以下收益：

1. 减少30-50%的授权服务调用量（取决于公共服务比例）
2. 降低系统整体延迟，特别是公共服务的响应时间
3. 提高授权服务的处理能力，使其更专注于真正需要验证的请求

总结

通过引入路由级别的细粒度授权控制，Knative Kourier网关可以更高效地处理混合访问模式的服务部署。这一优化不仅提升了系统性能，也为用户提供了更灵活的访问控制策略配置方式。未来可考虑将此机制扩展为更通用的授权策略框架，支持多种认证模式和更复杂的访问规则。

net-kourier Purpose-built Knative Ingress implementation using just Envoy with no additional CRDs 项目地址: https://gitcode.com/gh_mirrors/ne/net-kourier