遵循 Istio 安全最佳实践的初学者指南 - Jacob Delgado

Istio 安全最佳实践总结

核心观点

• 许多用户在使用 Istio 时依赖默认配置，但默认设置可能不适用于所有安全需求。
• Istio 和 Kubernetes 的复杂性要求根据具体环境调整安全设置，并避免未经测试的更改。
• 强制使用 mTLS 是服务网格中的默认流量模式，明文传输应尽量避免。

关键配置建议

• mTLS 设置：
  • 默认情况下，客户端和服务器应配置为使用 mTLS，避免明文传输。
  • 通过 PeerAuthentication 和 DestinationRule 配置 mTLS 模式为 STRICT。
• 流量捕获：
  • Istio 仅捕获 TCP 流量，UDP、ICMP 和 HTTP/3 未被捕获。
  • 双栈集群中，IPv6 流量不被拦截。
  • 特定端口（如 SSH）和标注端口未被捕获。
• 网络策略：
  • 使用 Kubernetes NetworkPolicy 限制入口和出口流量。
  • 网关 Pod 应在专用节点上运行，并通过 ServiceEntry 管理外部访问。
  • 出站流量应通过出口网关重定向，以简化监控。
• 自动设置禁用：
  • 禁用自动 mTLS 和协议嗅探。
  • 在 IstioOperator 中设置 enableAutoMtls: false 和 enableProtocolSniffingForOutbound: false。

安全增强措施

• CNI 插件：
  • 使用 Istio CNI 插件减少特权需求，降低攻击面。
  • 使用无争议的镜像版本（如 1.13.2-distroless）保持最新。
• 请求身份验证和授权：
  • 请求身份验证和授权策略需配合使用，单一配置无效。
  • 需要两个相关的 RequestAuthentication 和授权政策协同工作。

注意事项

• 不要完全依赖 Istio 保护所有流量，IPv6 和 UDP 流量未被拦截。
• 环境配置需分层管理，云/本地环境需分别考虑。
• 更改配置前必须测试，避免停机风险。