24、微服务通信安全保障：Istio 中的认证与授权实践

微服务通信安全保障：Istio 中的认证与授权实践

在微服务架构中，保障服务间通信的安全性至关重要。Istio 提供了一系列强大的功能来实现这一目标，本文将深入探讨 Istio 中的自动 mTLS 认证和服务间授权策略。

1. 自动 mTLS 认证

在 Istio 中，注入了边车代理的服务之间的流量默认是加密且相互认证的。自动颁发和轮换证书的过程非常重要，因为人工管理证书容易出错，可能导致不必要且代价高昂的服务中断。

1.1 环境搭建

为了演示相互 TLS 的功能，我们需要搭建一个测试环境。具体步骤如下：
1. 清理环境，确保从一个干净的状态开始：

kubectl config set-context $(kubectl config current-context) --namespace=istioinaction
kubectl delete virtualservice,deployment,service,destinationrule,gateway --all

2. 安装三个服务： webapp 、 catalog 和 sleep 。其中， sleep 服务代表一个遗留工作负载，它没有边车代理，因此无法进行相互认证。

kubectl label namespace istioinaction i