22、Istio 授权与基于角色的访问控制

Istio 授权与基于角色的访问控制

1. Istio 授权概述

Istio 中的授权也被称为基于角色的访问控制（RBAC）。它为服务网格中的服务提供了命名空间级别、服务级别和方法级别的访问控制。Istio 授权具有基于角色的语义，能够满足终端用户到服务以及服务到服务的安全需求。

1.1 Istio 授权架构

Istio 操作员可以根据 YAML 文件指定授权策略，这些策略会被存储在 Istio 配置存储中。当授权策略发生变化时，Pilot 会获取这些变化并将其分发到与服务实例共置的 Envoy 代理。每个 Envoy 代理通过其本地授权引擎对运行时请求进行授权，根据当前的授权策略评估每个传入请求，并为每个请求返回允许（ALLOW）或拒绝（DENY）的结果。

1.2 启用 Istio 授权

可以使用 ClusterRbacConfig 对象在服务网格上启用 Istio 授权。需要注意的是，每个服务网格只能有一个 ClusterRbacConfig 对象，因为它是一个集群范围的单例，固定名称为 default 。

2. 授权策略的关键概念

Istio 授权策略的两个关键概念是 ServiceRole 和 ServiceRoleBinding 。

2.1 ServiceRole

ServiceRole 定义了策略中访问服务的一组权限。它包含一个规则列表，每个规则有以下字段：