Alibaba Cloud Service Mesh:Implementasikan otorisasi kustom menggunakan protokol HTTP

Cara kerja

Ketika klien mengirim permintaan ke layanan yang dilindungi, sidecar Envoy mencegat permintaan tersebut dan meneruskannya ke layanan otorisasi eksternal. Layanan otorisasi memeriksa atribut permintaan—header, path, dan metode—lalu mengembalikan keputusan allow atau deny. Envoy kemudian meneruskan permintaan ke layanan upstream atau mengembalikan error kepada pemanggil.

Client  -->  Envoy sidecar  -->  ext-authz service
                  |                      |
                  |<-- allow/deny -------+
                  |
         allow --> upstream service
         deny  --> 403 Forbidden to caller

Rincian perilaku:

• Pemeriksaan otorisasi hanya dipicu untuk permintaan yang sesuai dengan aturan dalam kebijakan otorisasi. Misalnya, Anda dapat membatasi pemeriksaan hanya untuk path tertentu.

• Permintaan yang tidak sesuai dengan aturan apa pun dilewatkan tanpa pemeriksaan otorisasi.

• Jika layanan otorisasi eksternal tidak tersedia, ASM secara default menolak semua permintaan yang sesuai (fail-closed). Anda dapat mengonfigurasi perilaku fail-open jika diperlukan.

Langkah 1: Deploy layanan otorisasi eksternal

Deploy layanan ext-authz di kluster ACK. Layanan ini mematuhi spesifikasi API otorisasi eksternal Istio dan mendukung protokol HTTP maupun gRPC.

1. Buat file bernama ext-authz.yaml dengan konten berikut:

   Lihat ext-authz.yaml

      apiVersion: v1
      kind: Service
      metadata:
        name: ext-authz
        labels:
          app: ext-authz
      spec:
        ports:
        - name: http
          port: 8000
          targetPort: 8000
        - name: grpc
          port: 9000
          targetPort: 9000
        selector:
          app: ext-authz
      ---
      apiVersion: apps/v1
      kind: Deployment
      metadata:
        name: ext-authz
      spec:
        replicas: 1
        selector:
          matchLabels:
            app: ext-authz
        template:
          metadata:
            labels:
              app: ext-authz
          spec:
            containers:
            - image: istio/ext-authz:0.6
              imagePullPolicy: IfNotPresent
              name: ext-authz
              ports:
              - containerPort: 8000
              - containerPort: 9000

2. Terapkan manifes:

      kubectl apply -f ext-authz.yaml

3. Verifikasi bahwa Pod sedang berjalan: Output yang diharapkan:

      kubectl logs "$(kubectl get pod -l app=ext-authz -n default -o jsonpath={.items..metadata.name})" -n default -c ext-authz

      NAME                         READY   STATUS    RESTARTS   AGE
      ext-authz-6b5db88f86-2m7c6   2/2     Running   0          79m

4. Konfirmasi bahwa layanan otorisasi berhasil dimulai: Output yang diharapkan:

      kubectl logs "$(kubectl get pod -l app=ext-authz -n default -o jsonpath={.items..metadata.name})" -n default -c ext-authz

      2023/12/20 08:15:39 Starting gRPC server at [::]:9000
      2023/12/20 08:15:39 Starting HTTP server at [::]:8000

5. Catat titik akhir HTTP: ext-authz.default.svc.cluster.local:8000. Nilai ini diperlukan saat mendaftarkan layanan ke ASM pada langkah berikutnya. Untuk mengonfirmasi port, buka Konsol ACK. Navigasi ke Clusters > *kluster Anda* > Network > Services, klik ext-authz, lalu periksa bagian Service Address.

Langkah 2: Deploy aplikasi contoh

Deploy aplikasi httpbin dan sleep untuk menguji perilaku otorisasi.

1. Buat file bernama httpbin.yaml dengan konten berikut:

   Lihat httpbin.yaml

      apiVersion: v1
      kind: ServiceAccount
      metadata:
        name: httpbin
      ---
      apiVersion: v1
      kind: Service
      metadata:
        name: httpbin
        labels:
          app: httpbin
          service: httpbin
      spec:
        ports:
        - name: http
          port: 8000
          targetPort: 80
        selector:
          app: httpbin
      ---
      apiVersion: apps/v1
      kind: Deployment
      metadata:
        name: httpbin
      spec:
        replicas: 1
        selector:
          matchLabels:
            app: httpbin
            version: v1
        template:
          metadata:
            labels:
              app: httpbin
              version: v1
          spec:
            serviceAccountName: httpbin
            containers:
            - image: docker.io/kennethreitz/httpbin
              imagePullPolicy: IfNotPresent
              name: httpbin
              ports:
              - containerPort: 80

2. Terapkan manifes:

      kubectl apply -f httpbin.yaml

3. Buat file bernama sleep.yaml dengan konten berikut:

   Lihat sleep.yaml

      apiVersion: v1
      kind: ServiceAccount
      metadata:
        name: sleep
      ---
      apiVersion: v1
      kind: Service
      metadata:
        name: sleep
        labels:
          app: sleep
          service: sleep
      spec:
        ports:
        - port: 80
          name: http
        selector:
          app: sleep
      ---
      apiVersion: apps/v1
      kind: Deployment
      metadata:
        name: sleep
      spec:
        replicas: 1
        selector:
          matchLabels:
            app: sleep
        template:
          metadata:
            labels:
              app: sleep
          spec:
            terminationGracePeriodSeconds: 0
            serviceAccountName: sleep
            containers:
            - name: sleep
              image: curlimages/curl
              command: ["/bin/sleep", "3650d"]
              imagePullPolicy: IfNotPresent
              volumeMounts:
              - mountPath: /etc/sleep/tls
                name: secret-volume
            volumes:
            - name: secret-volume
              secret:
                secretName: sleep-secret
                optional: true

4. Terapkan manifes:

      kubectl apply -f sleep.yaml

Langkah 3: Daftarkan layanan otorisasi ke ASM

Daftarkan layanan ext-authz agar ASM dapat mengarahkan pemeriksaan otorisasi ke layanan tersebut.

1. Masuk ke Konsol ASM. Di panel navigasi sebelah kiri, pilih Service Mesh > Mesh Management.

2. Klik nama instance ASM Anda. Di panel navigasi sebelah kiri, pilih Mesh Security Center > Custom Authorization Service, lalu klik Define Custom Authorization Service.

3. Pada halaman Register Custom Authorization Service, klik tab Custom authorization service (HTTP or gRPC protocol) implemented based on envoy.ext_authz. Konfigurasikan parameter berikut lalu klik Create.

Langkah 4: Buat kebijakan otorisasi

Buat kebijakan otorisasi yang menentukan permintaan mana yang memerlukan pemeriksaan otorisasi.

1. Di Konsol ASM, navigasi ke instans ASM Anda dan pilih Mesh Security Center > AuthorizationPolicy. Klik Create.

2. Konfigurasikan parameter berikut lalu klik Create.

   Parameter	Nilai untuk tutorial ini	Deskripsi
   Name	test1	Nama untuk mengidentifikasi kebijakan otorisasi.
   Policy Type	Custom Authorization Service	Mendelegasikan otorisasi ke layanan otorisasi eksternal yang didaftarkan di Langkah 3.
   Custom Authorization Service	httpextauth-test4http(HTTP)	Layanan otorisasi yang didaftarkan di Langkah 3.
   Namespace	default	Pada tab Workload Scope, pilih namespace tempat workload target berjalan.
   Effective Scope	Service	Terapkan kebijakan pada level layanan.
   Workload	httpbin	Workload yang akan dilindungi dengan pemeriksaan otorisasi.
   Request Matching Rules	Paths: /headers	Di bawah Add Request Target, aktifkan Paths dan atur nilainya ke /headers. Hanya permintaan ke path ini yang memicu otorisasi.

Langkah 5: Verifikasi perilaku otorisasi

Jalankan tiga kasus uji dari Pod sleep untuk memastikan otorisasi berfungsi sesuai harapan.

kubectl exec "$(kubectl get pod -l app=sleep -n default -o jsonpath={.items..metadata.name})" \
  -c sleep -n default -- \
  curl "http://httpbin.default:8000/ip" -s -o /dev/null -w "%{http_code}\n"

kubectl exec "$(kubectl get pod -l app=sleep -n default -o jsonpath={.items..metadata.name})" \
  -c sleep -n default -- \
  curl "http://httpbin.default:8000/headers" -H "x-ext-authz: deny" -s -i

HTTP/1.1 403 Forbidden
x-ext-authz-check-result: denied
...
denied by ext_authz for not found header `x-ext-authz: allow` in the request

kubectl exec "$(kubectl get pod -l app=sleep -n default -o jsonpath={.items..metadata.name})" \
  -c sleep -n default -- \
  curl "http://httpbin.default:8000/headers" -H "x-ext-authz: allow" -s

{
  "headers": {
    "Accept": "*/*",
    "Host": "httpbin.default:8000",
    "User-Agent": "curl/8.5.0",
    "X-Ext-Authz": "allow",
    "X-Ext-Authz-Check-Result": "allowed",
    ...
  }
}

Pertimbangan keamanan dan operasional

• Fail-open vs. fail-closed: Secara default, ASM menolak permintaan ketika layanan otorisasi tidak tersedia (fail-closed). Untuk beralih ke mode fail-open, aktifkan Skip authentication while authorization service is unavailable dalam konfigurasi layanan otorisasi. Evaluasi dampak keamanan sebelum mengaktifkan fail-open di lingkungan produksi—konfigurasi fail-open memungkinkan permintaan tanpa autentikasi ketika layanan otorisasi down.

• Urutan filter: Tempatkan pemeriksaan otorisasi di awal pipeline pemrosesan permintaan. Jika filter lain (seperti filter Lua) mengubah routing setelah pemeriksaan otorisasi, permintaan bisa melewati otorisasi. Untuk informasi lebih lanjut tentang risiko ini, lihat dokumentasi Envoy ext_authz.

• Penyesuaian timeout: Atur timeout otorisasi berdasarkan latensi yang diharapkan dari layanan otorisasi Anda. Timeout yang terlalu singkat dapat menyebabkan penolakan palsu saat beban tinggi.

Pembersihan

Hapus resource yang dibuat dalam tutorial ini:

kubectl delete -f ext-authz.yaml
kubectl delete -f httpbin.yaml
kubectl delete -f sleep.yaml

Juga hapus layanan otorisasi dan kebijakan dari Konsol ASM:

1. Navigasi ke Mesh Security Center > AuthorizationPolicy, pilih kebijakan test1, lalu hapus.

2. Navigasi ke Mesh Security Center > Custom Authorization Service, pilih test4http, lalu hapus.

Langkah selanjutnya

• Kembangkan layanan otorisasi kustom berbasis HTTP: Bangun layanan otorisasi siap produksi yang disesuaikan dengan logika bisnis Anda.

• Kembangkan layanan otorisasi kustom berbasis gRPC: Gunakan gRPC alih-alih HTTP untuk pemeriksaan otorisasi dengan latensi lebih rendah.

• Implementasikan otorisasi kustom menggunakan protokol gRPC: Konfigurasikan ASM untuk menggunakan layanan otorisasi eksternal berbasis gRPC.

• Gunakan kebijakan otorisasi untuk mengontrol traffic akses dari layanan di instans ASM ke website eksternal: Kelola traffic outbound dari layanan di instans ASM Anda ke website eksternal.

• Gunakan kebijakan otorisasi untuk mengontrol traffic akses dari layanan di instans ASM ke database eksternal: Kelola traffic outbound dari layanan di instans ASM Anda ke database eksternal.

• Gunakan fitur audit operasi KubeAPI di ASM: Catat dan lacak operasi harian pengguna berbeda di instans ASM Anda.

• Konfigurasikan alert audit untuk operasi resource ASM: Pantau dan beri alert atas perubahan konfigurasi ASM.