Alibaba Cloud Service Mesh:アプリケーション向けの権限付与ポリシーの設定

サポートされるレイヤー 4 ポリシー属性

ztunnel は以下の属性のみを評価します。このリストに含まれない属性については、レイヤー 7 の適用には必ずウェイポイントプロキシが必要です。

レイヤー 4 とレイヤー 7 のポリシー対象指定の比較

ステップ 1：レイヤー 4 ポリシーの適用

AuthorizationPolicy を作成し、istio-ingressgateway のみが app: productpage ラベルを持つ Pod にアクセスできるようにします。

kubectl apply -f - <<EOF
apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
  name: productpage-waypoint
  namespace: default
spec:
  targetRefs:
  - kind: Service
    group: ""
    name: productpage
  action: ALLOW
  rules:
  - from:
    - source:
        principals:
        - cluster.local/ns/default/sa/sleep
    to:
    - operation:
        methods: ["GET"]
EOF

ステップ 2：ブラウザによるアクセスの確認

ブラウザで http://<ingress-gateway-ip>/productpage を開きます。このページは正常にロードされます。これは、リクエストがイングレスゲートウェイを経由して到達するためであり、その ServiceAccount はポリシーで許可されているからです。

ステップ 3：Sleep クライアントがブロックされることの確認

Sleep アプリケーションからリクエストを送信します。

kubectl exec deployment/sleep -- curl -s "http://productpage:9080/productpage" -I

期待される出力：

command terminated with exit code 56

接続はトランスポート層で拒否されます。ztunnel はレイヤー 4 で動作するため、HTTP ステータスコードは返されず、接続自体が切断されます。

ステップ 1：ウェイポイントプロキシのデプロイ

kubectl apply -f - <<EOF
apiVersion: gateway.networking.k8s.io/v1
kind: Gateway
metadata:
  name: waypoint
spec:
  gatewayClassName: istio-waypoint
  listeners:
  - name: mesh
    port: 15008
    protocol: HBONE
EOF

ステップ 2：ウェイポイントの準備完了を待機

kubectl get gtw

PROGRAMMED 列に True が表示されるまで待機します。

NAME       CLASS            ADDRESS        PROGRAMMED   AGE
waypoint   istio-waypoint   172.16.99.15   True         2m29s

ステップ 3：名前空間トラフィックをウェイポイント経由でルーティング

すべてのサービストラフィックがウェイポイントを経由するよう、default 名前空間にラベルを付与します。

kubectl label namespace default istio.io/use-waypoint=waypoint --overwrite

ステップ 4：レイヤー 7 ポリシーの作成

このポリシーでは、Sleep アプリケーションからのみ productpage へのアクセスを許可し、かつ GET メソッドのみを許可します。

kubectl apply -f - <<EOF
apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
  name: productpage-waypoint
  namespace: default
spec:
  targetRefs:
  - kind: Service
    group: ""
    name: productpage
  action: ALLOW
  rules:
  - from:
    - source:
        principals:
        - cluster.local/ns/default/sa/sleep
    to:
    - operation:
        methods: ["GET"]
EOF

ステップ 5：ウェイポイントトラフィックを許可するようレイヤー 4 ポリシーを更新

現在、ウェイポイントプロキシがクライアントと productpage Pod の間に配置されています。ztunnel は、元のクライアントではなく、ウェイポイントをトラフィックの送信元と認識します。そのため、レイヤー 4 ポリシーを更新して、ウェイポイントの ServiceAccount を含める必要があります。

kubectl apply -f - <<EOF
apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
  name: productpage-ztunnel
  namespace: default
spec:
  selector:
    matchLabels:
      app: productpage
  action: ALLOW
  rules:
  - from:
    - source:
        principals:
        - cluster.local/ns/istio-system/sa/istio-ingressgateway
        - cluster.local/ns/default/sa/waypoint
EOF

ステップ 6：レイヤー 7 ポリシーの確認

ポリシーが期待通りに機能することを確認するため、以下の 3 つのテストを実行します。

テスト 1：Sleep からの DELETE（拒否：メソッドが許可されていない）

kubectl exec deploy/sleep -- curl -s "http://productpage:9080/productpage" -X DELETE

期待される出力：

RBAC: access denied

Sleep の ServiceAccount は許可されていますが、DELETE メソッドは許可されていません。

テスト 2：reviews-v1 からの GET（拒否：ID が許可されていない）

kubectl exec deploy/reviews-v1 -- curl -s http://productpage:9080/productpage

期待される出力：

RBAC: access denied

reviews-v1 の ServiceAccount はポリシーの principals に記載されていません。

テスト 3：Sleep からの GET（許可）

kubectl exec deploy/sleep -- curl -s http://productpage:9080/productpage | grep -o "<title>.*</title>"

期待される出力：

<title>Simple Bookstore App</title>

すべてのテスト結果がポリシー構成と一致しており、レイヤー 4 およびレイヤー 7 の権限付与ポリシーが正しく機能していることが確認できます。