10、Istio 安全认证与 Pilot 配置详解

Istio 安全认证与 Pilot 配置详解

1. mTLS 基础概念

在系统中，所有身份证书（SVIDs）被分发到各个工作负载后，如何利用它们来验证通信服务器的身份，并进行认证和授权呢？这就需要用到 mTLS（Mutual Transport Layer Security）。

先了解一下 TLS（SSL 的新版本），常见的用例是 HTTPS。用户使用浏览器连接到某个 Web 服务器（如 http://wikipedia.org）时，浏览器会进行 DNS 查找以确定网站的 IP 地址，然后发送 HTTPS 请求并等待服务器响应。当浏览器（客户端）尝试连接服务器时，服务器会出示一个由客户端信任的根信任机构签名的证书（如 wikipedia.org），客户端验证该证书，认证服务器身份并建立连接，随后生成一组密钥对客户端和服务器发送的数据进行加密。

mTLS 是 TLS 的一种扩展，在这种模式下，客户端和服务器双方都会向对方出示证书。这不仅允许客户端验证服务器的身份，还允许服务器验证尝试建立连接的客户端的身份。在 Istio 中使用 mTLS 时，双方会互相出示自己的 SVID，从而实现对对方 SVID 的认证，并对连接进行授权。在实际应用中，Istio 仅在服务器端进行授权。

2. 配置 Istio 认证策略

Istio 将认证和授权策略分为两组配置：
- 认证策略 ：控制网格中的代理之间如何通信（是否需要 SVID）。
- 授权策略 ：需要先配置认证策略，然后配置哪些身份可以进行通信。

2.1 认证策略：配置 mTLS <