Alibaba Cloud Service Mesh:ASM の Envoy プロキシ向け Rust での Wasm プラグインの作成

プロジェクトの作成

rust-example という名前のディレクトリを作成し、それに切り替えて、新しい Rust ライブラリを初期化します。

mkdir rust-example && cd rust-example
cargo init --lib

依存関係の構成

Cargo.toml の内容を以下で置き換えます。

[package]
name = "rust-example"
version = "0.1.0"
edition = "2021"

[lib]
# Build as a C-compatible dynamic library so Envoy can load it
crate-type = ["cdylib"]

[dependencies]
log = "0.4.8"
proxy-wasm = "0.2.2"

cdylib クレート型は、Wasm ランタイムと互換性のある動的ライブラリを生成します。2 つの依存関係は次のとおりです。

• log -- 構造化されたログ出力のための標準 Rust ロギングファサード。

• proxy-wasm -- trait 定義とホスト関数バインディングを提供する Proxy-Wasm Rust SDK。

プラグインロジックの実装

プラグインは以下を行う必要があります。

1. このプラグインが HTTP トラフィックを処理することを Envoy に伝える RootContext を登録します。

2. 受信 HTTP リクエストごとに、リクエストヘッダーを検査する HttpContext を作成します。

3. on_http_request_headers コールバックで、allow: true ヘッダーをチェックします。ヘッダーがない場合は HTTP 403 でリクエストをブロックし、存在する場合は通過させます。

src/lib.rs の内容を以下で置き換えます。

use log::info;
use proxy_wasm::traits::*;
use proxy_wasm::types::*;

proxy_wasm::main! {{
    proxy_wasm::set_log_level(LogLevel::Trace);
    proxy_wasm::set_root_context(|_| -> Box<dyn RootContext> { Box::new(HttpHeadersRoot) });
}}

struct HttpHeadersRoot;

// Inherit shared utility functions (property access, timers, etc.)
impl Context for HttpHeadersRoot {}

impl RootContext for HttpHeadersRoot {
    fn get_type(&self) -> Option<ContextType> {
        Some(ContextType::HttpContext)
    }

    fn create_http_context(&self, context_id: u32) -> Option<Box<dyn HttpContext>> {
        Some(Box::new(HttpHeaders { context_id }))
    }
}

struct HttpHeaders {
    context_id: u32,
}

impl Context for HttpHeaders {}

impl HttpContext for HttpHeaders {
    fn on_http_request_headers(&mut self, _: usize, _: bool) -> Action {
        info!("#{} wasm-rust: on_http_request_headers", self.context_id);

        match self.get_http_request_header("allow") {
            Some(allow) if allow == "true" => {
                Action::Continue
            }
            _ => {
                info!("#{} wasm-rust: allow header not found or is not true, deny by default", self.context_id);
                self.send_http_response(
                    403,
                    vec![("Content-Type", "text/plain")],
                    Some(b"Forbidden by ASM Wasm Plugin, rust version\n"),
                );
                Action::Pause
            }
        }
    }
}

コードの内訳は次のとおりです。

プラグインのコンパイル

wasm32-wasi ターゲットでプラグインをビルドします。

cargo build --target wasm32-wasi --release

ビルドが成功すると、Wasm バイナリは次の場所にあります。

target/wasm32-wasi/release/rust_example.wasm

デバッグロギングの有効化

データプレーンクラスターの kubeconfig を使用して、ゲートウェイ Pod で Wasm デバッグログを有効にします。

kubectl -n istio-system exec <gateway-pod-name> -c istio-proxy -- \
  curl -XPOST "localhost:15000/logging?wasm=debug"

<gateway-pod-name> をご利用のゲートウェイ Pod の実際の名前で置き換えてください。

allow ヘッダーなしでのテスト

allow ヘッダーなしでリクエストを送信します。

curl <ASM-gateway-IP>/status/418

期待される出力:

Forbidden by ASM Wasm Plugin, rust version

プラグインはリクエストをブロックし、HTTP 403 を返します。

ゲートウェイログの確認

ゲートウェイ Pod ログで次のようなエントリを検査します。

2024-09-05T08:33:31.079869Z  info  envoy wasm  wasm log istio-system.header-authorization: #2 wasm-rust: on_http_request_headers
2024-09-05T08:33:31.079943Z  info  envoy wasm  wasm log istio-system.header-authorization: #2 wasm-rust: allow header not found or is not true, deny by default
{"authority_for":"xx.xx.xx.xx","bytes_received":"0","bytes_sent":"43","downstream_local_address":"xx.xx.xx.xx:80","downstream_remote_address":"xx.xx.xx.xx:xxxxx","duration":"0","istio_policy_status":"-","method":"GET","path":"/status/418","protocol":"HTTP/1.1","request_id":"d5250d1a-54b3-406d-8bea-5a51b617b579","requested_server_name":"-","response_code":"403","response_flags":"-","route_name":"httpbin","start_time":"2024-09-05T08:33:31.079Z","trace_id":"-","upstream_cluster":"outbound|8000||httpbin.default.svc.cluster.local","upstream_host":"-","upstream_local_address":"-","upstream_response_time":"-","upstream_service_time":"-","upstream_transport_failure_reason":"-","user_agent":"curl/8.9.0-DEV","x_forwarded_for":"xx.xx.xx.xx"}

これらのログ行は、プラグインが実行され、リクエストを拒否したことを確認します。

allow ヘッダーありでのテスト

allow: true を付けてリクエストを送信します。

curl <ASM-gateway-IP>/status/418 -H "allow: true"

期待される出力:

    -=[ teapot ]=-

       _...._
     .'  _ _ `.
    | ."` ^ `". _,
    \_;`"---"`|//
      |       ;/
      \_     _/
        `"""`

リクエストは HTTPBin に渡され、標準の HTTP 418 teapot 応答を返します。プラグインは正常に動作しています。