:Get started with Ambient Mesh

ASM V1.22 et versions ultérieures

ASM V1.22 utilise une approche en deux étapes pour configurer les proxies waypoint :

1. Créez un proxy waypoint avec un libellé spécifiant le type de trafic qu'il gère.

2. Associez les services au waypoint en appliquant un libellé contenant le nom du waypoint à chaque service, namespace ou pod concerné.

Déployez le proxy waypoint. Basculez kubectl vers le contexte du cluster ACK :

kubectl apply -f - <<EOF
apiVersion: gateway.networking.k8s.io/v1
kind: Gateway
metadata:
  labels:
    istio.io/waypoint-for: service
  name: waypoint
  namespace: default
spec:
  gatewayClassName: istio-waypoint
  listeners:
  - name: mesh
    port: 15008
    protocol: HBONE
EOF

Champs clés :

Acheminez le trafic de productpage via le waypoint. Ajoutez un libellé au service productpage :

kubectl label service productpage istio.io/use-waypoint=waypoint

Mettez à jour la politique d'autorisation. Basculez kubectl vers le contexte de l'instance ASM. Cette politique de couche 7 n'autorise que les requêtes GET provenant du compte de service sleep :

kubectl apply -f - <<EOF
apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: productpage-viewer
  namespace: default
spec:
  targetRefs:
  - kind: Service
    group: ""
    name: productpage
  action: ALLOW
  rules:
  - from:
    - source:
        principals:
        - cluster.local/ns/default/sa/sleep
    to:
    - operation:
        methods: ["GET"]
EOF

Vérifiez la politique de couche 7. Basculez kubectl vers le contexte du cluster ACK et exécutez les tests suivants :

Requête GET depuis sleep (autorisée) :

kubectl exec deploy/sleep -- curl -s http://productpage:9080/ | grep -o "<title>.*</title>"

Résultat attendu :

<title>Simple Bookstore App</title>

Requête DELETE depuis sleep (bloquée — seule la méthode GET est autorisée) :

kubectl exec deploy/sleep -- curl -XDELETE -s http://productpage:9080/

Résultat attendu :

RBAC: access denied

Requête depuis notsleep (bloquée — absent de la liste d'autorisation) :

kubectl exec deploy/notsleep -- curl -s http://productpage:9080/

Résultat attendu :

RBAC: access denied

Ces trois résultats confirment que la politique restreint l'accès en fonction de l'identité et de la méthode HTTP.

ASM V1.21 et versions antérieures

Pour ASM V1.21, utilisez istioctl pour déployer un proxy waypoint lié à un compte de service.

1. Déployez un proxy waypoint pour le compte de service bookinfo-productpage :

      istioctl x waypoint apply --service-account bookinfo-productpage

2. Confirmez que le proxy waypoint est prêt :

      kubectl get gtw bookinfo-productpage -o yaml

   Résultat attendu

      apiVersion: gateway.networking.k8s.io/v1beta1
      kind: Gateway
      metadata:
        annotations:
          gateway.istio.io/controller-version: "5"
          istio.io/for-service-account: bookinfo-productpage
        creationTimestamp: "2023-08-10T08:35:51Z"
        generation: 1
        name: bookinfo-productpage
        namespace: default
        resourceVersion: "7828921"
        uid: c085b788-a8fa-4a2c-8376-18d08689****
      spec:
        gatewayClassName: istio-waypoint
        listeners:
        - allowedRoutes:
            namespaces:
              from: Same
          name: mesh
          port: 15008
          protocol: HBONE
      status:
        conditions:
        - lastTransitionTime: "2023-08-10T08:35:51Z"
          message: Handled by Istio controller
          observedGeneration: 1
          reason: Accepted
          status: "True"
          type: Accepted

3. Mettez à jour la politique d'autorisation pour n'autoriser que les requêtes GET provenant du compte de service sleep et de la passerelle d'entrée :

      kubectl apply -f - <<EOF
      apiVersion: security.istio.io/v1beta1
      kind: AuthorizationPolicy
      metadata:
        name: productpage-viewer
        namespace: default
      spec:
        selector:
          matchLabels:
            istio.io/gateway-name: bookinfo-productpage
        action: ALLOW
        rules:
        - from:
          - source:
              principals:
              - cluster.local/ns/default/sa/sleep
              - cluster.local/ns/istio-system/sa/istio-ingressgateway
          to:
          - operation:
              methods: ["GET"]
      EOF

4. Vérifiez la politique :

   1. Requête DELETE via la passerelle (bloquée) :

         kubectl exec deploy/sleep -- curl -s "http://$GATEWAY_HOST/productpage" -X DELETE

      Résultat attendu :

         RBAC: access denied

   2. Requête depuis notsleep (bloquée) :

         kubectl exec deploy/notsleep -- curl -s http://productpage:9080/

      Résultat attendu :

         RBAC: access denied

   3. Requête GET depuis sleep (autorisée) :

         kubectl exec deploy/sleep -- curl -s http://productpage:9080/ | grep -o "<title>.*</title>"

      Résultat attendu :

         <title>Simple Bookstore App</title>