Alibaba Cloud Service Mesh:Keamanan percaya nol

Lihat identitas workload di Konsol

1. Masuk ke Konsol ASM. Di panel navigasi sebelah kiri, pilih Service Mesh > Mesh Management.

2. Pada halaman Mesh Management, klik nama instans ASM. Di panel navigasi sebelah kiri, pilih Mesh Security Center > Workload Identity.

3. Pada halaman Workload Identity, pilih kluster dari daftar drop-down Data Plane dan namespace dari daftar drop-down Namespace untuk melihat identitas workload.

Contoh: Siapkan otentikasi JWT untuk suatu layanan

Contoh ini menggunakan aplikasi sampel Bookinfo sebagai layanan target dan Pod sleep sebagai client.

Prasyarat

Deploy aplikasi Bookinfo. Untuk detailnya, lihat Deploy aplikasi dalam instans ASM.

Langkah 1: Deploy sleep client

1. Buat file sleep.yaml dengan konten berikut:

   Klik untuk melihat sleep.yaml

      apiVersion: v1
      kind: ServiceAccount
      metadata:
        name: sleep
      ---
      apiVersion: v1
      kind: Service
      metadata:
        name: sleep
        labels:
          app: sleep
          service: sleep
      spec:
        ports:
        - port: 80
          name: http
        selector:
          app: sleep
      ---
      apiVersion: apps/v1
      kind: Deployment
      metadata:
        name: sleep
      spec:
        replicas: 1
        selector:
          matchLabels:
            app: sleep
        template:
          metadata:
            labels:
              app: sleep
          spec:
            terminationGracePeriodSeconds: 0
            serviceAccountName: sleep
            containers:
            - name: sleep
              image: curlimages/curl
              command: ["/bin/sleep", "3650d"]
              imagePullPolicy: IfNotPresent
              volumeMounts:
              - mountPath: /etc/sleep/tls
                name: secret-volume
            volumes:
            - name: secret-volume
              secret:
                secretName: sleep-secret
                optional: true

2. Gunakan kubectl untuk terhubung ke kluster Container Service for Kubernetes (ACK) Anda dan deploy aplikasi sleep:

      kubectl apply -f sleep.yaml -n default

Langkah 2: Buat kebijakan otentikasi permintaan

1. Masuk ke Konsol ASM. Di panel navigasi sebelah kiri, pilih Service Mesh > Mesh Management.

2. Pada halaman Mesh Management, klik nama instans ASM. Di panel navigasi sebelah kiri, pilih Mesh Security Center > RequestAuthentication. Klik Create.

3. Definisikan aturan JWT untuk workload details dengan parameter berikut, lalu klik Create. Parameter utama: Nilai JWKS: Untuk informasi lebih lanjut, lihat jwks.json.

   Parameter	Nilai	Deskripsi
   issuer	testing@asm.istio.io	Penerbit JWT.
   audiences	(kosong)	Biarkan kosong agar semua layanan dapat menggunakan JWT ini.
   jwks	Lihat di bawah	JSON Web Key Set yang digunakan untuk memverifikasi tanda tangan JWT.

      { "keys":[ {"e":"AQAB","kid":"DHFbpoIUqrY8t2zpA2qXfCmr5VO5ZEr4RzHU_-envvQ","kty":"RSA","n":"xAE7eB6qugXyCAG3yhh7pkDkT65pHymX-P7KfIupjf59vsdo91bSP9C8H07pSAGQO1MV_xFj9VswgsCg4R6otmg5PV2He95lZdHtOcU5DXIg_pbhLdKXbi66GlVeK6ABZOUW3WYtnNHD-91gVuoeJT_DwtGGcp4ignkgXfkiEm4sw-4sfb4qdt5oLbyVpmW6x9cfa7vs2WTfURiCrBoUqgBo_-4WTiULmmHSGZHOjzwa8WtrtOQGsAFjIbno85jp6MnGGGZPYZbDAa_b3y5u-YpW7ypZrvD8BgtKVjgtQgZhLAGezMt0ua3DRrWnKqTZ0BJ_EyxOGuHJrLsn00fnMQ"}]}

   

Langkah 3: Verifikasi kebijakan

1. Gunakan tool JWT untuk meng-encode JWKS menjadi string JWT. Hasil yang diharapkan:

      eyJhbGciOiJSUzI1NiIsImtpZCI6IkRIRmJwb0lVcXJZOHQyenBBMnFYZkNtcjVWTzVaRXI0UnpIVV8tZW52dlEiLCJ0eXAiOiJKV1QifQ.eyJleHAiOjQ2ODU5ODk3MDAsImZvbyI6ImJhciIsImlhdCI6MTUzMjM4OTcwMCwiaXNzIjoidGVzdGluZ0BzZWN1cmUuaXN0aW8uaW8iLCJzdWIiOiJ0ZXN0aW5nQHNlY3VyZS5pc3Rpby5pbyJ9.CfNnxWP2tcnR9q0vxyxweaF3ovQYHYZl82hAUsn21bwQd9zP7c-LS9qd_vpdLG4Tn1A15NxfCjp5f7QNBUo-KC9PJqYpgGbaXhaGx7bEdFWjcwv3nZzvc7M__ZpaCERdwU7igUmJqYGBYQ51vr2njU9ZimyKkfDe3axcyiBZde7G6dabliUosJvvKOPcKIWPccCgefSj_GNfwIip3-SsFdlR7BtbVUcqR-yv-XOxJ3Uc1MI0tz3uMiiZcyPV7sNCU4KRnemRIMHVOfuvHsU60_GhGbiSFzgPTAa9WTltbnarTbxudb_YEOx12JiwYToeX0DCPb43W1tzIBxgm8NxUg

2. Kirim permintaan dengan JWT valid: Output yang diharapkan: 200. JWT valid diterima.

      export TOKEN=eyJhbGciOiJSUzI1NiIsImtpZCI6IkRIRmJwb0lVcXJZOHQyenBBMnFYZkNtcjVWTzVaRXI0UnpIVV8tZW52dlEiLCJ0eXAiOiJKV1QifQ.eyJleHAiOjQ2ODU5ODk3MDAsImZvbyI6ImJhciIsImlhdCI6MTUzMjM4OTcwMCwiaXNzIjoidGVzdGluZ0BzZWN1cmUuaXN0aW8uaW8iLCJzdWIiOiJ0ZXN0aW5nQHNlY3VyZS5pc3Rpby5pbyJ9.CfNnxWP2tcnR9q0vxyxweaF3ovQYHYZl82hAUsn21bwQd9zP7c-LS9qd_vpdLG4Tn1A15NxfCjp5f7QNBUo-KC9PJqYpgGbaXhaGx7bEdFWjcwv3nZzvc7M__ZpaCERdwU7igUmJqYGBYQ51vr2njU9ZimyKkfDe3axcyiBZde7G6dabliUosJvvKOPcKIWPccCgefSj_GNfwIip3-SsFdlR7BtbVUcqR-yv-XOxJ3Uc1MI0tz3uMiiZcyPV7sNCU4KRnemRIMHVOfuvHsU60_GhGbiSFzgPTAa9WTltbnarTbxudb_YEOx12JiwYToeX0DCPb43W1tzIBxgm8NxUg
   
      kubectl exec $(kubectl get pod -l app=sleep -o jsonpath={.items..metadata.name}) -c sleep \
        -- curl http://details:9080/details/1 -o /dev/null \
        --header "Authorization: Bearer $TOKEN" -s -w '%{http_code}\n'

3. Kirim permintaan dengan JWT tidak valid: Output yang diharapkan: 403. Token tidak valid ditolak.

      kubectl exec $(kubectl get pod -l app=sleep -o jsonpath={.items..metadata.name}) -c sleep \
        -- curl http://details:9080/details/1 -o /dev/null \
        --header "Authorization: Bearer badtoken" -s -w '%{http_code}\n'

4. Kirim permintaan tanpa JWT: Output yang diharapkan: 200. Tanpa JWT, permintaan melewati validasi JWT dan diizinkan.

      kubectl exec $(kubectl get pod -l app=sleep -o jsonpath={.items..metadata.name}) -c sleep \
        -- curl http://details:9080/details/1 -o /dev/null -s -w '%{http_code}\n'

Hasil ini mengonfirmasi bahwa kebijakan bekerja sesuai harapan: JWT valid lolos, JWT tidak valid ditolak, dan permintaan tanpa JWT diizinkan kecuali dibatasi oleh kebijakan otorisasi.

Contoh: Wajibkan JWT valid untuk semua permintaan

Contoh ini melanjutkan konfigurasi otentikasi permintaan di atas. Kebijakan otorisasi ditambahkan untuk memblokir permintaan tanpa JWT valid.

Prasyarat

• Deploy aplikasi Bookinfo. Untuk detailnya, lihat Deploy aplikasi dalam instans ASM.

• Deploy client sleep seperti dijelaskan pada bagian otentikasi permintaan di atas.

Langkah 1: Buat kebijakan otorisasi

1. Masuk ke Konsol ASM. Di panel navigasi sebelah kiri, pilih Service Mesh > Mesh Management.

2. Pada halaman Mesh Management, klik nama instans ASM. Di panel navigasi sebelah kiri, pilih Mesh Security Center > AuthorizationPolicy. Klik Create from YAML.

3. Pilih default dari daftar drop-down Namespace, tempel YAML berikut, lalu klik Create. Kebijakan ini mengizinkan permintaan ke layanan details hanya jika principal permintaan cocok dengan testing@secure.istio.io/testing@secure.istio.io—artinya permintaan harus membawa JWT valid yang diterbitkan oleh identitas ini. Untuk informasi lebih lanjut tentang bidang kebijakan otorisasi, lihat Authorization Policy.

      apiVersion: security.istio.io/v1beta1
      kind: AuthorizationPolicy
      metadata:
        name: require-jwt
        namespace: default
      spec:
        action: ALLOW
        rules:
          - from:
              - source:
                  requestPrincipals:
                    - testing@secure.istio.io/testing@secure.istio.io
        selector:
          matchLabels:
            app: details

Langkah 2: Verifikasi kebijakan

Kirim permintaan tanpa JWT:

kubectl exec $(kubectl get pod -l app=sleep -o jsonpath={.items..metadata.name}) -c sleep \
  -- curl http://details:9080/details/1 -o /dev/null -s -w '%{http_code}\n'

Output yang diharapkan: 403. Kebijakan otorisasi memblokir permintaan tanpa JWT valid dari testing@secure.istio.io.