Service Mesh (ASM) menyediakan fitur kebijakan keamanan yang mengenkapsulasi sumber daya keamanan native Istio berdasarkan skenario umum, sehingga memungkinkan Anda menyelesaikan konfigurasi keamanan dengan mudah tanpa harus mengonfigurasi sumber daya Istio secara langsung.
Cara kebijakan keamanan menyederhanakan konfigurasi Istio
Istio menyediakan keamanan melalui sumber daya native seperti RequestAuthentication dan AuthorizationPolicy. Mengonfigurasi sumber daya ini secara langsung menimbulkan dua tantangan:
Koordinasi multi-sumber daya — Satu skenario keamanan sering kali memerlukan beberapa sumber daya Istio yang dikonfigurasi secara bersamaan. Misalnya, menyiapkan Single Sign-On (SSO) OpenID Connect (OIDC) melibatkan koordinasi kebijakan otentikasi, aturan otorisasi, dan konfigurasi gerbang masuk.
Abstraksi tingkat rendah — Bidang sumber daya Istio merepresentasikan konsep tingkat rendah yang sulit diterapkan pada kasus penggunaan dunia nyata tanpa pengalaman sebelumnya dengan Istio.
Kebijakan keamanan ASM mengatasi kedua masalah tersebut dengan mengemas skenario keamanan umum ke dalam konfigurasi tingkat tinggi yang dirancang khusus untuk tujuan tertentu. Setiap kebijakan keamanan secara otomatis menghasilkan sumber daya Istio yang diperlukan. Anda dapat memeriksa sumber daya yang dihasilkan kapan saja untuk memahami konfigurasi Istio yang mendasarinya. Jika diperlukan, Anda tetap dapat menggunakan sumber daya Istio secara langsung untuk pengaturan lanjutan.
Otentikasi
Kebijakan otentikasi memverifikasi identitas pengguna atau layanan yang membuat permintaan.
| Fitur | Fungsinya | Detail |
|---|---|---|
| SSO OIDC | Mengaktifkan single sign-on berbasis OIDC untuk layanan di balik gerbang masuk. Pengguna melakukan otentikasi melalui penyedia identitas dan dapat mengakses beberapa layanan dengan satu sesi login. | Konfigurasikan SSO OIDC |
| Otentikasi JSON Web Token (JWT) | Memvalidasi JWT yang dilampirkan pada permintaan masuk sebelum mencapai beban kerja Anda. Permintaan dengan token yang kedaluwarsa atau tidak valid akan ditolak. | Konfigurasikan otentikasi JWT |
Otorisasi
Kebijakan otorisasi menentukan apakah permintaan yang telah diautentikasi diizinkan mencapai targetnya.
| Fitur | Fungsinya | Detail |
|---|---|---|
| Daftar hitam dan daftar putih | Menolak atau mengizinkan permintaan berdasarkan atribut seperti IP sumber, Header, atau path permintaan. Aturan ini berlaku baik untuk lalu lintas timur-barat (antarl ayanan) maupun lalu lintas utara-selatan (melalui gerbang masuk). | Konfigurasikan kontrol akses daftar hitam/daftar putih |
| Layanan otorisasi kustom | Meneruskan permintaan ke layanan otorisasi eksternal yang menjalankan logika kustom Anda dan mengembalikan keputusan izinkan atau tolak. Pendekatan ini mendukung skenario seperti memeriksa hak akses pengguna terhadap database tanpa mengubah kode aplikasi. | Konfigurasikan otorisasi kustom |