Alibaba Cloud Service Mesh：Konfigurasikan kebijakan keamanan ASM untuk menerapkan otorisasi kustom

Prosedur

1. Masuk ke Konsol ASM. Di panel navigasi sisi kiri, pilih Service Mesh > Mesh Management.

2. Di halaman Mesh Management, klik nama instance ASM. Di panel navigasi sisi kiri, pilih Mesh Security Center > ASMSecurityPolicy.

3. Di halaman ASMSecurityPolicy, klik Create. Di kotak dialog Create ASMSecurityPolicy, klik Custom Authorization Service, lalu klik OK.

4. Pada langkah Custom Authorization Service Configuration dalam panduan konfigurasi CreateCustom Authorization Service, klik tab Custom authorization service (HTTP or gRPC protocol) implemented based on envoy.ext_authz, konfigurasikan parameter, lalu klik Next.

   Gambar berikut menunjukkan contoh cara mengonfigurasi parameter. Untuk informasi lebih lanjut tentang parameter, lihat Implementasikan otorisasi kustom menggunakan protokol HTTP.

5. Pada langkah Workload and Match Rules dalam panduan konfigurasi, klik Add Workload Group. Di kotak dialog New Workload Group, konfigurasikan parameter, lalu klik OK.

   Tabel berikut menjelaskan cara mengonfigurasi parameter dalam contoh ini.

   Parameter	Deskripsi
   Workload Group Name	Atur nama menjadi test-policy.
   Workload List	Klik Add Workload. Di kotak dialog Add Workload, pilih Workload Scope. Atur parameter Namespace menjadi default dan parameter Workload Type menjadi Service. Di kotak Select workloads, pilih productpage, klik ikon untuk menambahkan workload ke kotak selected, lalu klik OK.
   Match Rule List	Atur parameter Match Mode menjadi The selected request must be authenticated. Atur Matching Rules menjadi Custom Matching Rules. Nyalakan sakelar Path dan atur parameter menjadi /productpage.

   

   Pada langkah Complete dalam panduan konfigurasi, pesan "Pembuatan ASMSecurityPolicy berhasil" akan muncul, menandakan bahwa kebijakan keamanan ASM telah dibuat. Anda dapat mengklik YAML untuk melihat sumber daya yang dibuat atau klik Complete untuk kembali ke halaman ASMSecurityPolicy dan melihat kebijakan keamanan yang dibuat.

6. Periksa apakah konfigurasi otorisasi kustom telah diterapkan.

   1. Jalankan perintah berikut untuk memulai permintaan dengan header x-ext-authz: allow guna mengakses layanan productpage:

      curl -I -H "x-ext-authz: allow" http://${IP address of the ingress gateway}/productpage

      Output yang diharapkan:

      HTTP/1.1 200 OK
      content-type: text/html; charset=utf-8
      content-length: 5288
      server: istio-envoy
      date: Tue, 17 Jan 2023 07:53:14 GMT
      x-envoy-upstream-service-time: 20

      Output menunjukkan bahwa otorisasi kustom dipicu dan otentikasi berhasil.

   2. Jalankan perintah berikut untuk memulai permintaan dengan header x-ext-authz: deny guna mengakses layanan productpage:

      curl -I -H "x-ext-authz: deny" http://${IP address of the ingress gateway}/productpage

      Output yang diharapkan:

      HTTP/1.1 403 Forbidden
      x-ext-authz-check-result: denied
      date: Tue, 17 Jan 2023 07:55:27 GMT
      server: istio-envoy
      x-envoy-upstream-service-time: 2
      transfer-encoding: chunked

      Output menunjukkan bahwa otorisasi kustom dipicu tetapi otentikasi gagal.

   Hasil sebelumnya menunjukkan bahwa konfigurasi otorisasi kustom telah diterapkan.

Referensi

• Untuk informasi lebih lanjut tentang konsep dan fitur kebijakan keamanan ASM, lihat Ikhtisar kebijakan keamanan ASM.

• Anda dapat mengaktifkan fitur audit mesh untuk mencatat atau melacak operasi harian dari pengguna yang berbeda. Anda juga dapat mengonfigurasi peringatan audit untuk operasi pada sumber daya ASM dan mengirim notifikasi peringatan kepada kontak peringatan secara tepat waktu ketika sumber daya penting berubah. Untuk informasi lebih lanjut, lihat Gunakan fitur audit Operasi KubeAPI di ASM dan Konfigurasikan peringatan audit untuk operasi pada sumber daya ASM.