26、Istio 中的用户认证、授权及外部授权集成

Istio 中的用户认证、授权及外部授权集成

1. 入口网关的终端用户认证和授权

Istio 工作负载可以配置为使用 JWT（JSON Web Token）对终端用户请求进行认证和授权。终端用户是指由身份提供者进行身份验证，并获得代表其身份和声明的令牌的用户。虽然终端用户授权可以在任何工作负载级别完成，但此功能通常在 Istio 入口网关执行，这样能提高性能，因为无效请求会被提前拒绝。此外，它还能让 Istio 从请求中删除 JWT，防止后续服务意外泄露或恶意用户进行重放攻击。

1.1 工作空间设置

首先，移除之前创建的所有资源，从全新环境开始：

kubectl config set-context $(kubectl config current-context) \
--namespace=istioinaction
kubectl delete virtualservice,deployment,service,\
destinationrule,gateway,peerauthentication,authorizationpolicy --all
kubectl delete peerauthentication,authorizationpolicy \
-n istio-system --all

然后，设置示例工作负载：

kubectl apply -f services/catalog/kubernetes/catalog.yaml
kubectl apply -f service