Secure your microservices with Istio step by step JF Ding & Luyao Zhong

Istio 安全微服务实践总结

Istio 架构与安全架构

• Istio 架构：提供连接、安全、控制和观测微服务的功能。
• 安全架构：通过 Istio Agent 和 Envoy 代理实现服务间认证和加密通信。

初始化服务

• 部署 bookinfo 服务，包括带有 Istio sidecar 的 reviews-v1 和 reviews-v2，以及无 sidecar 的 reviews-v2。
• 部署 bookinfo 网关，实现外部访问。

Istio 身份认证

• Istio 身份认证流程：
  1. Envoy 代理启动请求证书（SDS）。
  2. 通过 JWT 进行认证。
  3. CA 服务器签发 SPIFFE 格式的证书。
• 身份配置获取：通过 istioctl proxy-config 和 envoy config-dump 获取动态证书信息。
• 配置验证：自动生成 Istio 身份证书。

mTLS 实现

• 自动 mTLS：
  • 根据 DestinationRule 配置决定客户端 sidecar 发送的流量类型。
  • 服务器端默认为 PERMISSIVE 模式。
• PeerAuthentication：
  • 定义服务器 sidecar 接受的流量类型：
    • PERMISSIVE：接受明文和 mTLS。
    • STRICT：仅接受 mTLS。
    • DISABLE：仅接受明文。
    • UNSET：继承父级，默认为 PERMISSIVE。
• DestinationRule：
  • 定义客户端 sidecar 发送的流量类型：
    • DISABLE：发送明文。
    • ISTIO_MUTUAL：使用 Istio 证书发起 TLS。
    • SIMPLE/MUTUAL：使用指定证书发起 TLS。

入侵流量安全

• TLS 终止：
  • SIMPLE/MUTUAL：在网关终止 TLS，需指定证书。
  • ISTIO_MUTUAL：在网关使用 Istio 证书终止 TLS。
  • PASSTHROUGH：通过 SNI 和虚拟服务传递 TLS 流量。
  • AUTO_PASSTHROUGH：纯 SNI 传递 TLS 流量。
• JWT 认证：
  • 通过 RequestAuthentication 对入侵流量进行 JWT 认证。
  • 仅有效 JWT 请求可通过网关。

网内流量授权

• 授权策略：
  • AuthorizationPolicy 定义流量授权规则。
  • 示例策略：
    • deny-all：拒绝所有请求。
    • productpage-viewer：允许 productpage 服务访问。
    • details-viewer：允许 productpage 服务访问 details 服务。
    • reviews-viewer：允许 productpage 服务访问 reviews 服务。
    • ratings-viewer：允许 reviews 服务访问 ratings 服务。
• 授权结果：
  • 仅授权的请求可通过服务。
  • 未授权的请求被拒绝。

总结

• 核心观点：
  • Istio 自动提供强身份认证。
  • 自动 mTLS 帮助快速接入 Istio。
  • 严格 mTLS 推荐用于安全通信。
  • 通过 Istio 授权策略实现服务访问控制。
• 关键数据：
  • 多种 mTLS 模式（PERMISSIVE、STRICT、DISABLE、UNSET）。
  • JWT 认证和授权策略应用。
• 研究结论：
  • Istio 可全面保障微服务安全。