36、微服务安全：Istio服务网格与API安全漏洞防护

微服务安全：Istio服务网格与API安全漏洞防护

一、Istio服务网格中的密钥管理与证书配置

在微服务架构里，Istio服务网格为安全提供了强大的支持。下面详细介绍其关键组件和流程：
1. 证书生成与验证流程
- 首先，会推导出主题备用名称并嵌入到证书中，生成符合SPIFFE标准的证书。
- Citadel与API服务器通信，验证提供的JWT，确认工作负载携带正确的JWT并在正确的Kubernetes节点上运行。
- Citadel将签名证书返回给节点代理。
- 节点代理再将签名证书、私钥和根证书返回给Envoy代理或工作负载。

```mermaid
graph LR
    A[生成主题备用名称并嵌入证书] --> B[Citadel验证JWT]
    B --> C[Citadel返回签名证书给节点代理]
    C --> D[节点代理返回证书等给Envoy或工作负载]
```

2. 密钥过期管理
   节点代理会跟踪密钥的过期情况。它运行一个定时任务，遍历所有缓存的密钥，找出接近过期的密钥。若密钥接近过期，节点代理会向相应的Envoy代理发送消息，代理将启动与之前相同的流程来获取新密钥。使用SDS（Secret Discovery Service）进行密钥配置和轮换的主要优点是，工作负载关联的私钥不会离开对应的Kubernetes节点，并且在密钥轮换时无需重启Envoy代理来重新加载密钥。

3. Is