Deep Dive into Istio Auth Policies Lawrence Gadban

Istio 认证策略深度解析

Istio 安全架构概述

Istio 提供了高级别的安全架构，其中核心组件包括：

• mTLS（双向 TLS）：在服务间通信中强制使用加密传输
• 认证策略：控制服务间和请求级别的身份验证
• 授权策略：定义资源访问控制规则

mTLS 工作模式

Istio 支持三种 mTLS 模式：

1. 允许模式（Permissive）：工作负载同时接受明文和 mTLS 流量，适用于迁移阶段
2. 强制模式（Strict）：工作负载仅接受 mTLS 流量，推荐生产环境使用
3. 禁用模式（Disable）：禁用 mTLS，需自行实现安全方案

mTLS 流程中，Istio 通过 Envoy 代理实现：

• 服务器证书通过 SDS（服务发现服务）获取
• 客户端证书由 Istio mTLS 过滤器验证
• 验证通过后，将客户端身份信息存储为动态元数据

认证策略（PeerAuthentication）

认证策略用于控制服务间的 mTLS 认证：

• 作用范围：支持网格、命名空间、工作负载和端口级别
• 策略配置：

  apiVersion: \"security.istio.io/v1beta1\"
  kind: \"PeerAuthentication\"
  spec:
    mtls:
      mode: STRICT  # 可选 STRICT, PERMISSIVE, DISABLE, UNSET
  

• 匹配逻辑：最窄作用范围的策略优先
• 过滤器行为：
  • 验证连接是否使用 mTLS
  • 保存客户端身份信息（如 SPIFFE ID）
  • 不验证信任域，授权策略可进一步控制

请求认证（RequestAuthentication）

请求认证用于验证请求中的 JWT：

• 配置项：

  apiVersion: \"security.istio.io/v1beta1\"
  kind: \"RequestAuthentication\"
  spec:
    jwtRules:
      - issuer: \"example.com\"
      - jwksUri: \"https://example.com/jwks.json\"
  

• 作用范围：支持网格、命名空间和工作负载级别
• 特殊处理：
  • Ingress 端点需要配置 forwardOriginalToken: true
  • 可配置 originIsOptional 控制强制验证
  • principalBinding 决定如何绑定请求者身份

授权策略（AuthorizationPolicy）

授权策略用于控制请求访问权限：

• 核心字段：

  apiVersion: \"security.istio.io/v1beta1\"
  kind: \"AuthorizationPolicy\"
  spec:
    selector:
      app: httpbin
    action: ALLOW  # 可选 ALLOW, DENY
    rules:
      - from:
          - source:
              requestPrincipals:
                - \"example.com/user\"
      - to:
          - operation:
              methods: [\"GET\"]
  

• 策略逻辑：
  • 默认允许所有流量
  • 至少一个 ALLOW 规则生效则允许
  • DENY 规则优先级更高
  • 可使用 deny-all 策略实现默认拒绝

Envoy RBAC 过滤器

授权策略通过 Envoy RBAC 过滤器执行：

• 过滤器配置：

  name: envoy.filters.http.rbac
  rules:
    policies:
      ns[foo]-policy[httpbin-admin]-rule[0]:
        permissions:
          - andRules:
              rules:
                - orRules:
                    rules:
                      - header:
                          name: \":method\"
                          exactMatch: GET
        principals:
          - andIds:
              ids:
                - orIds:
                    ids:
                      metadata:
                        filter: istio_authn
                        path:
                          - key: request.auth.principal
                          - value:
                              stringMatch:
                                exact: example.com/user
  

• 动态元数据：请求认证保存的 JWT 声明可用于授权决策

总结

Istio 认证策略体系通过 mTLS 和 JWT 两种机制实现服务间和请求级别的身份验证，授权策略则提供细粒度的访问控制。整个流程通过 Envoy 过滤器执行，将认证结果作为动态元数据传递给后续授权决策，形成完整的安全链路。建议在生产环境中使用强制 mTLS 模式，并配合授权策略实现最小权限原则。