简单的证书管理(使用 ECC 工作证书) Jacob Delgado

核心观点与关键数据

• ECC 工作负载认证支持: 从 Istio 1.7.7、1.8.2 和 1.9.0 版本开始，Istio 仅支持使用 ECDSA P-256 的椭圆曲线密码学 (ECC) x509 证书进行工作负载认证，不再支持插入 CA 证书。
• 早期支持: 在 Istio 1.6 版本中，已添加对工作负载在 sidecar 到 sidecar 通信中使用 ECC 证书的支持。
• 环境变量配置: 启用该功能需要设置 ECC_SIGNATURE_ALGORITHM: ECDSA 环境变量，该设置适用于 sidecar 和网关。

安装与配置方法

• istioctl 安装:
  • 使用 istioctl install -f iop.yaml 命令安装时，需在 iop.yaml 文件中设置 proxyMetadata.ECC_SIGNATURE_ALGORITHM: ECDSA。
• Helm 安装:
  • 使用 Helm 安装时，需在 values-override.yaml 文件中设置 meshConfig.defaultConfig.proxyMetadata.ECC_SIGNATURE_ALGORITHM: ECDSA。
  • 具体命令为：helm install istiod <chart-path>/istio-control/istio-discovery -n istio-system --values values-override.yaml。

工作负载证书检验

• 证书生成: istiod 将生成自签名 CA 证书，使用 RSA 算法。
• 证书检验命令:

  istioctl proxy-config secrets <POD> <PODNAMESPACE> -o json | \\
  jq '.dynamicActiveSecrets[0].secret.tlsCertificate.certificateChain.inlineBytes' | \\
  sed 's/\"//g' | base64 --decode | openssl x509 -noout -text
  

迁移与未来支持

• 迁移路径: 将提供迁移路径，当前使用环境变量的方式将继续支持至至少 Istio 1.10 版本。
• 未来计划: 在 Istio 1.10 版本中，计划作为 Alpha 特性支持在 MeshConfig 中配置 ECC。

其他环境变量

• 可设置其他环境变量启用功能，但需注意实验性质，未来可能废弃，使用时需自行评估风险。
• 更多信息请参考：https://istio.io/latest/docs/reference/commands/pilot-agent/#envvars。