すべてのプロダクト
Search

このプロダクト

    Alibaba Cloud Service Mesh:ASMEgressTrafficPolicy を使用したエグレストラフィックの管理

    ドキュメントセンター

    Alibaba Cloud Service Mesh:ASMEgressTrafficPolicy を使用したエグレストラフィックの管理

    最終更新日:Aug 21, 2026

    バージョン 1.16.4 以降、Alibaba Cloud Service Mesh (ASM) は ASMEgressTrafficPolicy カスタムリソース定義 (CRD) をサポートしています。 この記事では、この CRD を使用してエグレストラフィックを管理する方法について説明します。

    背景情報

    仕組み

    サービスメッシュは、ServiceEntry、VirtualService、Gateway、Destination などの複数のリソースを作成し、相互接続することで、エグレストラフィック管理をサポートします。 これらのリソースが設定されると、トラフィックは透過的にインターセプトされ、エグレスゲートウェイにルーティングされます。その後、エグレスゲートウェイはトラフィックを外部サービスに転送します。

    この設定プロセスは複雑でエラーが発生しやすく、さまざまなフィールドについて深い理解が必要です。 エグレストラフィックの設定を簡素化するために、ASM は ASMEgressTrafficPolicy リソースを導入しています。

    ASMEgressTrafficPolicy リソースは、エグレストラフィックの設定を抽象化し、簡素化します。 ServiceEntry、VirtualService、Gateway、Destination などのリソースを手動で作成および管理する代わりに、いくつかの基本的な設定を定義するだけで済みます。 その後、サービスメッシュは透過的にトラフィックをインターセプトし、エグレスゲートウェイにルーティングし、HTTP または HTTPS 経由で外部サービスに転送します。

    ASMEgressTrafficPolicy はネイティブのサービスメッシュリソースを簡略化した抽象化であるため、パーセンテージベースのトラフィックルーティングやエグレスゲートウェイからの mTLS の開始など、高度なユースケースをサポートしていない場合があります。 高度な機能やカスタム設定が必要な場合は、「メッシュ内トラフィック用の統合エグレスゲートウェイの設定」をご参照ください。

    特徴

    ASM は、アプリケーション間の通信を接続、管理、保護するための統一された方法を提供します。 ネットワーク IP ベースのメソッドとは異なり、ASM は既存のアプリケーションコードの変更を必要としないアプリケーション中心のアプローチを使用します。 ASMEgressTrafficPolicy リソースは、エグレスゲートウェイを介してエグレストラフィックを管理する方法を定義します。 ASM エグレスゲートウェイと AuthorizationPolicy を組み合わせることで、エグレストラフィックをより柔軟にコントロールできます。Dingtalk_20230411112608

    この例には、次のトラフィックフローが含まれています：

    1. メッシュプロキシ間、およびプロキシとゲートウェイ間の通信：デフォルトでは、ASM はこの通信を mTLS で保護し、証明書を管理します。

    2. アプリケーションとそのメッシュプロキシ間、およびゲートウェイと外部サービス間の通信：

    a. サービスメッシュの高度な L7 機能を使用するには、アプリケーションは可能な限りプレーンテキストを使用してメッシュプロキシと通信する必要があります。 これにより、メッシュプロキシは L7 トラフィック情報にアクセスし、より高度な機能をサポートできます。 アプリケーションが HTTPS トラフィックを直接開始する必要がある場合、サービスメッシュは L4 機能しか提供できません。

    b. エグレスゲートウェイと外部サービス間の通信プロトコルを設定できます。 プレーンテキストと HTTPS の両方がサポートされています。

    前提条件

    前提条件

    アウトバウンドトラフィックポリシーの設定

    1. ASM コンソールにログインします。 左側のナビゲーションウィンドウで、サービスメッシュ > メッシュ管理を選択します。

    2. [メッシュ管理] ページで、ASM インスタンスの名前をクリックします。左側のナビゲーションウィンドウで、[データプレーンコンポーネント管理] > [サイドカープロキシ設定] を選択します。

    3. グローバル タブで、外部サービスアクセスポリシー をクリックします。次に、外部サービスへのアクセスポリシー OutboundTrafficPolicy の右側で [REGISTRY_ONLY] をクリックし、次に 設定項目の更新 をクリックします。

    名前空間の作成

    1. istio-egress 名前空間を作成します。 詳細については、「グローバル名前空間の管理」をご参照ください。

    2. グローバル名前空間 ページで、自動インジェクションの同期 をクリックして、名前空間を ASM インスタンスが管理する ACK クラスターと同期します。

    エグレスゲートウェイの作成

    ASM で、egressgateway-a という名前のエグレスゲートウェイを作成します。ポートマッピング で、ポート 80 に HTTP を、ポート 443 と 444 に HTTPS を設定します。次に、双方向 TLS 認証 を有効にします。詳細については、「エグレスゲートウェイサービスを作成する」をご参照ください。

    生成された YAML ファイルの spec フィールドに次の内容が含まれていることを確認してください：

    spec:
  podLabels:
    security.istio.io/tlsMode: istio

    サンプルアプリケーションの作成

    1. ASM インスタンスで、mytest という名前の名前空間を作成し、自動サイドカーインジェクションを有効にします。 詳細については、「グローバル名前空間の管理」をご参照ください。

    2. ACK クラスターで、mytest 名前空間に sleep-a サービスを、デフォルト名前空間に nginx サービスをデプロイします。

      1. test.yaml という名前のファイルを次の内容で作成します：

        Test.yaml

        apiVersion: v1
kind: Service
metadata:
  name: sleep-a
  namespace: mytest
  labels:
    app: sleep-a
    service: sleep-a
spec:
  ports:
  - port: 80
    name: http
  selector:
    app: sleep-a
---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: sleep-a
  namespace: mytest
spec:
  replicas: 1
  selector:
    matchLabels:
      app: sleep-a
  template:
    metadata:
      labels:
        app: sleep-a
    spec:
      terminationGracePeriodSeconds: 0
      containers:
      - name: sleep
        image: registry-cn-hangzhou.ack.aliyuncs.com/ack-demo/curl:asm-sleep
        command: ["/bin/sleep", "infinity"]
        imagePullPolicy: IfNotPresent
        volumeMounts:
        - mountPath: /etc/sleep/tls
          name: secret-volume
      volumes:
      - name: secret-volume
        secret:
          secretName: sleep-secret
          optional: true
---
apiVersion: apps/v1
kind: Deployment
metadata:
  labels:
    app: nginx
  name: nginx
  namespace: default
spec:
  progressDeadlineSeconds: 600
  replicas: 1
  revisionHistoryLimit: 10
  selector:
    matchLabels:
      app: nginx
  strategy:
    rollingUpdate:
      maxSurge: 25%
      maxUnavailable: 25%
    type: RollingUpdate
  template:
    metadata:
      creationTimestamp: null
      labels:
        app: nginx
    spec:
      containers:
      - image: registry-cn-hangzhou.ack.aliyuncs.com/ack-demo/nginx:1.27.0
        imagePullPolicy: Always
        name: nginx
        resources: {}
        terminationMessagePath: /dev/termination-log
        terminationMessagePolicy: File
      dnsPolicy: ClusterFirst
      restartPolicy: Always
      schedulerName: default-scheduler
      securityContext: {}
      terminationGracePeriodSeconds: 30

      2. ACK クラスターで、次のコマンドを実行して sleep-a および nginx サービスをデプロイします：

        kubectl apply -f test.yaml

    3. 次のコマンドを実行して、sleep-a および nginx サービスから http://www.httpbin.org にアクセスします：

      kubectl -n mytest exec deployment/sleep-a -- curl -s -o /dev/null -w "%{http_code}\n" http://www.httpbin.org
kubectl -n default exec deployment/nginx -- curl -s -o /dev/null -w "%{http_code}\n" http://www.httpbin.org

      両方のコマンドの出力は 502 であり、アクセスが失敗したことを示しています。

    sleep-a から外部 HTTP サービスへのアクセス許可

    オプション 1：サイドカーとエグレスゲートウェイ間のプレーンテキスト HTTP 通信

    このオプションは、本番環境では実用的ではありません。 アプリケーションコンテナとエグレスゲートウェイ間のプレーンテキスト通信は、クライアント ID ベースの権限付与を妨げます。 ASMEgressTrafficPolicy は、プレーンテキスト HTTP 経由でのエグレスゲートウェイへのアクセスをサポートしていません。

    • トラフィック管理は主にクライアントのサイドカーで強制され、エグレスゲートウェイは必要ありません。

    • 可観測性はエグレスゲートウェイに依存しません。

    • セキュリティ機能はエグレスゲートウェイに依存します。 ただし、mTLS がないと、クライアント ID に基づくすべての権限付与機能が無効になります。 エグレスゲートウェイはすべてのリクエストを拒否することしかできません。

    オプション 2：サイドカーとエグレスゲートウェイ間の mTLS 通信 (推奨)

    1. ASMEgressTrafficPolicy を作成します。

      コンソール

      1. ASM コンソールにログインします。 左側のナビゲーションウィンドウで、サービスメッシュ > メッシュ管理を選択します。

      2. [メッシュ管理] ページで ASM インスタンスの名前をクリックし、左側のナビゲーションウィンドウで [ASM ゲートウェイ] > [Egress ゲートウェイ] を選択します。

      3. ゲートウェイ名をクリックして、[ゲートウェイ概要] ページに移動します。左側のナビゲーションウィンドウで、エグレストラフィックポリシー をクリックします。

        エグレストラフィックポリシールールを設定します。 [エグレスゲートウェイ] を egressgateway に設定します。 [クラスター内サービス] エリアで、[名前空間] を mytest に、[ワークロードラベル名] を app に、[ラベル値] を sleep-a に設定します。 [外部サービス] エリアで、[外部サービス名] を httpbin-service-http に設定し、www.httpbin.org と httpbin.org を[ドメインリスト] に追加します。 [サービスポート] については、[ポート] を 80 に、[ポート名] を http に、[プロトコル] を [HTTP] に設定します。 [アクセス方法] エリアで、エグレスゲートウェイポート 80 を選択し、[HTTPS にアップグレード] で [いいえ] を選択します。

      kubectl

      1. 次の内容で egress-by-egressgateway.yaml という名前のファイルを作成します。

        フィールドの説明については、「ASMEgressTrafficPolicy CRD リファレンス」をご参照ください。

        apiVersion: istio.alibabacloud.com/v1
kind: ASMEgressTrafficPolicy
metadata:
  name: egress-by-egressgateway  # 規約: egress-by-{egress-gateway-name}
  namespace: istio-egress         # 規約: istio-egress 名前空間に固定
spec:
  byEgressGateway:
    name: egressgateway
  egressRules:
  - from:
    - namespace: mytest
      workloadSelector:
        app: sleep-a
    to:
    - name: httpbin-service-http
      hosts:
      - www.httpbin.org  # すべてのホストは同じ IP アドレスに解決される必要があります
      - httpbin.org      # すべてのホストは同じ IP アドレスに解決される必要があります
      port:
        name: http
        number: 80
        protocol: HTTP
      byEgressGateway:
        port: 80        # トラフィックパス: サイドカー -> ゲートウェイ (ポート 80) -> サービス (httpbin.org、ポート 80)

      2. ACK クラスターで、次のコマンドを実行して ASMEgressTrafficPolicy リソースを作成します。

        kubectl apply -f egress-by-egressgateway.yaml

    2. ASMEgressTrafficPolicy が有効になっていることを確認します。

      1. 次のコマンドを実行して、デフォルト名前空間の nginx サービスから http://www.httpbin.org へのアクセスをテストします。

        kubectl -n default exec deployment/nginx -- curl -s -o /dev/null -w "%{http_code}\n" http://www.httpbin.org

        コマンドは 502 を返します。これは、nginx サービスから http://www.httpbin.org へのアクセスが期待どおりにブロックされたことを示しています。

      2. 次のコマンドを実行して、mytest 名前空間の sleep-a サービスから http://www.httpbin.org へのアクセスをテストします。

        kubectl -n mytest exec deployment/sleep-a -- curl  -s -o /dev/null -w "%{http_code}\n"  http://www.httpbin.org

        コマンドは 200 を返します。これは、アクセスが期待どおりに許可されたことを示しています。

      3. 次のコマンドを実行して egress-by-egressgateway ポリシーを削除し、mytest 名前空間の sleep-a サービスから http://www.httpbin.org に再度アクセスを試みます。

        kubectl -n istio-egress delete ASMEgressTrafficPolicy  egress-by-egressgateway
kubectl -n mytest exec deployment/sleep-a -- curl -s -o /dev/null -w "%{http_code}\n" http://www.httpbin.org

        コマンドは 502 を返します。これは、ASMEgressTrafficPolicy が削除された後、sleep-a サービスが http://www.httpbin.org にアクセスできなくなったことを示しています。

      これらの結果は、ASMEgressTrafficPolicy が正しく機能していることを確認するものです。

    sleep-a から外部 HTTPS サービスへのアクセス

    オプション 1：サイドカーとエグレスゲートウェイ間の mTLS 通信 (推奨)

    1. ASMEgressTrafficPolicy を作成します。

      コンソール

      1. ASM コンソールにログインします。 左側のナビゲーションウィンドウで、サービスメッシュ > メッシュ管理を選択します。

      2. [メッシュ管理] ページで、ASM インスタンスの名前をクリックします。 左側のナビゲーションウィンドウで、[ASM ゲートウェイ] > [Egress ゲートウェイ] を選択します。

      3. ゲートウェイ名をクリックして、ゲートウェイの概要ページを開きます。左側のナビゲーションウィンドウで、エグレストラフィックポリシー をクリックします。

        エグレストラフィックルールを設定します。 [クラスター内サービス] セクションで、[名前空間] を [mytest] に、[ラベル名] を app に、[ラベル値] を sleep-a に設定します。 [外部サービス] セクションで、[外部サービス名] を httpbin-service-http に設定し、www.httpbin.org と httpbin.org を[ドメインリスト] に追加し、[サービスポート] を [ポート：80]、[ポート名：http]、[プロトコル：HTTP] で設定します。 [アクセス方法] セクションで、[エグレスゲートウェイポート] を [80] に、[HTTPS にアップグレード] を [はい] に、[HTTPS ポート] を [443] に設定します。

      Kubectl

      1. egress-by-egressgateway.yaml ファイルを次の内容で更新します。

        httpsUpgrade フィールドと、https://www.httpbin.org へのアクセスに関する関連定義が spec フィールドに追加されます。 フィールドの説明については、「ASMEgressTrafficPolicy CRD リファレンス」をご参照ください。

        apiVersion: istio.alibabacloud.com/v1
kind: ASMEgressTrafficPolicy
metadata:
  name: egress-by-egressgateway  # 規約: egress-by-{egress-gateway-name}
  namespace: istio-egress          # 規約: istio-egress 名前空間に固定
spec:
  byEgressGateway:
    name: egressgateway
  egressRules:
  - from:
     - namespace: mytest
       workloadSelector:
          app: sleep-a
    to:
    - name: httpbin-service-http
      hosts:
      - www.httpbin.org  # 複数のドメイン名が解決する IP アドレスは同じでなければなりません
      - httpbin.org      # 複数のドメイン名が解決する IP アドレスは同じでなければなりません
      port:
        name: http
        number: 80
        protocol: HTTP
      byEgressGateway:
        port: 80        # サイドカー -> ゲートウェイのポート 80 -> サービスのポート 80 (httpbin.org)
      httpsUpgrade:
        enabled: true   # enabled が false に設定されている場合、httpsUpgrade のポート設定は効果がありません
        port: 443       # サイドカー -> ゲートウェイのポート 80 -> サービスのポート 443 (httpbin.org)

      2. ACK クラスターで、次のコマンドを実行して ASMEgressTrafficPolicy リソースを作成します：

        kubectl apply -f egress-by-egressgateway.yaml

    2. ASMEgressTrafficPolicy の設定を検証します。

      1. mytest 名前空間の sleep-a サービスを検証します。

        1. 次のコマンドを実行して、sleep-a サービスから http://www.httpbin.org にアクセスします。

          kubectl -n mytest exec deployment/sleep-a -- curl -s -o /dev/null -w "%{http_code}\n" http://httpbin.org

          ステータスコード 200 は、sleep-a サービスが http://www.httpbin.org にアクセスできることを示します。

        2. 次のコマンドを実行して、httpbin.org の anything エンドポイントをリクエストし、エグレスゲートウェイが HTTP リクエストを HTTPS リクエストにアップグレードすることを確認します。

          kubectl -n mytest exec deployment/sleep-a -- sh -c "curl -s  http://httpbin.org/anything |grep url"

          期待される出力：

          "url": "https://httpbin.org/anything"

          url フィールドの値が https で始まっていることから、エグレスゲートウェイがリクエストを https にアップグレードしてから httpbin.org に転送したことが確認できます。

        3. 次のコマンドを実行して、mytest 名前空間の sleep-a サービスから https://www.httpbin.org にアクセスします。

          kubectl -n mytest exec deployment/sleep-a -- curl  -s -o /dev/null -w "%{http_code}\n"  https://www.httpbin.org

          ステータスコード 200 は、sleep-a サービスが https://www.httpbin.org にアクセスできることを示します。

      2. デフォルト名前空間の Nginx サービスを検証します。

        1. 次のコマンドを実行して、Nginx サービスから http://www.httpbin.org にアクセスします。

          kubectl -n default exec deployment/nginx -- curl -s -o /dev/null -w "%{http_code}\n" http://www.httpbin.org

          ステータスコード 502 は、Nginx サービスが http://www.httpbin.org へのアクセスに失敗したことを示します。

        2. 次のコマンドを実行して、Nginx サービスから https://www.httpbin.org にアクセスします。

          kubectl -n default exec deployment/nginx -- curl -s -o /dev/null -w "%{http_code}\n" https://www.httpbin.org

          接続拒否エラーは、Nginx サービスが https://www.httpbin.org へのアクセスに失敗したことを示します。

        3. 次のコマンドを実行して、Nginx ワークロードのサイドカーのアクセスログを表示し、接続が拒否された理由を特定します。

           kubectl -n default  logs -f deployment/nginx -c istio-proxy   --tail=1

          期待される出力：

          {"authority":"-","bytes_received":"0","bytes_sent":"0","downstream_local_address":"52.86.XX.XX:443","downstream_remote_address":"172.16.0.199:56748","duration":"0","istio_policy_status":"-","method":"-","path":"-","protocol":"-","request_id":"-","requested_server_name":"-","response_code":"0","response_flags":"UH","route_name":"-","start_time":"2023-04-11T02:00:07.409Z","trace_id":"-","upstream_cluster":"BlackHoleCluster","upstream_host":"-","upstream_local_address":"-","upstream_service_time":"-","upstream_transport_failure_reason":"-","user_agent":"-","x_forwarded_for":"-"}

          出力は、リクエストが BlackHoleCluster に転送され、接続が拒否されたことを示しています。

      3. 次のコマンドを実行して egress-by-egressgateway を削除し、mytest 名前空間の sleep-a サービスから http://www.httpbin.org と https://www.httpbin.org に再度アクセスします。

        kubectl -n istio-egress delete ASMEgressTrafficPolicy  egress-by-egressgateway
kubectl -n mytest exec deployment/sleep-a -- curl -s -o /dev/null -w "%{http_code}\n"  http://www.httpbin.org
kubectl -n mytest exec deployment/sleep-a -- curl -s -o /dev/null -w "%{http_code}\n"  https://www.httpbin.org

        http://www.httpbin.org へのリクエストは 502 を返し、https://www.httpbin.org へのリクエストは拒否されます。 ASMEgressTrafficPolicy の設定が削除されると、sleep-a サービスは http://www.httpbin.org または https://www.httpbin.org にアクセスできなくなります。

      これらの結果は、ASMEgressTrafficPolicy が期待どおりに機能することを確認するものです。

    オプション 2：サイドカーとエグレスゲートウェイ間の HTTPS 通信

    1. ASMEgressTrafficPolicy を作成します。

      コンソール

      1. ASM コンソールにログインします。 左側のナビゲーションウィンドウで、サービスメッシュ > メッシュ管理を選択します。

      2. [メッシュ管理] ページで、ASM インスタンスの名前をクリックします。 左側のナビゲーションウィンドウで、[ASM ゲートウェイ] > [Egress ゲートウェイ] を選択します。

      3. ゲートウェイ名をクリックして、[ゲートウェイ概要] ページを開きます。左側のナビゲーションウィンドウで、エグレストラフィックポリシー をクリックします。

        エグレストラフィックルールページで、[ルールを追加] をクリックし、ルールパラメーターを設定します。 [名前空間] を mytest に設定します。 [ワークロードラベル] については、ラベル名を app に、ラベル値を sleep-a に設定します。 [外部サービス名] を httpbin-service-https に設定します。 www.httpbin.org と httpbin.org を[ドメインリスト] に追加します。 [サービスポート] については、ポートを 443 に、ポート名を https に、[プロトコル] を HTTPS に設定します。 [アクセス方法] については、[エグレスゲートウェイポート経由] を選択し、ポートを 444 に設定します。

      Kubectl

      1. egress-by-egressgateway.yaml ファイルを次の内容で更新します。

        httpsUpgrade フィールドと、https://www.httpbin.org に直接アクセスするための定義が spec フィールドに追加されます。 フィールドの説明については、「ASMEgressTrafficPolicy CRD」をご参照ください。

        apiVersion: istio.alibabacloud.com/v1
kind: ASMEgressTrafficPolicy
metadata:
  name: egress-by-egressgateway  # 規約: egress-by-{egress-gateway-name}
  namespace: istio-egress          # 規約: istio-egress 名前空間に固定
spec:
  byEgressGateway:
    name: egressgateway
  egressRules:
  - from:
     - namespace: mytest
       workloadSelector:
          app: sleep-a
    to:
    - name: httpbin-service-https
      hosts:
      - www.httpbin.org
      - httpbin.org
      port:
        name: https
        number: 443
        protocol: HTTPS
      byEgressGateway:
        port: 444   # 前提条件でエグレスゲートウェイに定義されている HTTPS ポート 444

      2. ACK クラスターで、次のコマンドを実行して ASMEgressTrafficPolicy リソースを作成します：

        kubectl apply -f egress-by-egressgateway.yaml

    2. ASMEgressTrafficPolicy の設定を検証します。

      1. mytest 名前空間の sleep-a サービスを検証します。

        1. 次のコマンドを実行して、sleep-a サービスから http://www.httpbin.org にアクセスします。

          kubectl -n mytest exec deployment/sleep-a -- curl -s -o /dev/null -w "%{http_code}\n" http://httpbin.org

          ステータスコード 502 は、sleep-a サービスが http://www.httpbin.org へのアクセスに失敗したことを示します。

        2. 次のコマンドを実行して、mytest 名前空間の sleep-a サービスから https://www.httpbin.org にアクセスします。

          kubectl -n mytest exec deployment/sleep-a -- curl  -s -o /dev/null -w "%{http_code}\n"  https://www.httpbin.org

          ステータスコード 200 は、sleep-a サービスが https://www.httpbin.org にアクセスできることを示します。

      2. デフォルト名前空間の Nginx サービスを検証します。

        1. 次のコマンドを実行して、Nginx サービスから http://www.httpbin.org にアクセスします。

          kubectl -n default exec deployment/nginx -- curl -s -o /dev/null -w "%{http_code}\n" http://www.httpbin.org

          ステータスコード 502 は、Nginx サービスが http://www.httpbin.org へのアクセスに失敗したことを示します。

        2. 次のコマンドを実行して、Nginx サービスから https://www.httpbin.org にアクセスします。

          kubectl -n default exec deployment/nginx -- curl -s -o /dev/null -w "%{http_code}\n" https://www.httpbin.org

          接続拒否エラーは、Nginx サービスが https://www.httpbin.org へのアクセスに失敗したことを示します。

        3. 次のコマンドを実行して、Nginx ワークロードのサイドカーのアクセスログを表示し、接続が拒否された理由を特定します。

           kubectl -n default  logs -f deployment/nginx -c istio-proxy   --tail=1

          期待される出力：

          {"authority":"-","bytes_received":"0","bytes_sent":"0","downstream_local_address":"52.86.XX.XX:443","downstream_remote_address":"172.16.0.199:56748","duration":"0","istio_policy_status":"-","method":"-","path":"-","protocol":"-","request_id":"-","requested_server_name":"-","response_code":"0","response_flags":"UH","route_name":"-","start_time":"2023-04-11T02:00:07.409Z","trace_id":"-","upstream_cluster":"BlackHoleCluster","upstream_host":"-","upstream_local_address":"-","upstream_service_time":"-","upstream_transport_failure_reason":"-","user_agent":"-","x_forwarded_for":"-"}

          出力は、リクエストが BlackHoleCluster に転送され、接続が拒否されたことを示しています。

      3. 次のコマンドを実行して egress-by-egressgateway を削除し、mytest 名前空間の sleep-a サービスから http://www.httpbin.org と https://www.httpbin.org に再度アクセスします。

        kubectl -n istio-egress delete ASMEgressTrafficPolicy  egress-by-egressgateway
kubectl -n mytest exec deployment/sleep-a -- curl -s -o /dev/null -w "%{http_code}\n"  http://www.httpbin.org
kubectl -n mytest exec deployment/sleep-a -- curl -s -o /dev/null -w "%{http_code}\n"  https://www.httpbin.org

        http://www.httpbin.org へのリクエストは 502 を返し、https://www.httpbin.org へのリクエストは拒否されます。 ASMEgressTrafficPolicy の設定が削除されると、sleep-a サービスは http://www.httpbin.org または https://www.httpbin.org にアクセスできなくなります。

        これらの結果は、ASMEgressTrafficPolicy が期待どおりに機能することを確認するものです。

    sleep-a サービスから外部 TCP サービスへのアクセス

    1. ASMEgressTrafficPolicy を作成します。

      コンソール

      1. ASM コンソールにログインします。 左側のナビゲーションウィンドウで、サービスメッシュ > メッシュ管理を選択します。

      2. [メッシュ管理] ページで、ASM インスタンスの名前をクリックします。左側のナビゲーションウィンドウで、[ASM ゲートウェイ] > [Egress ゲートウェイ] を選択します。

      3. ゲートウェイ名をクリックします。ゲートウェイの概要 ページで、左側のナビゲーションウィンドウのエグレストラフィックポリシーをクリックします。

      kubectl

      1. 次の内容で egress-by-egressgateway.yaml という名前のファイルを作成します。

        apiVersion: istio.alibabacloud.com/v1
kind: ASMEgressTrafficPolicy
metadata:
  name: egress-by-egressgateway
  namespace: istio-egress
spec:
  byEgressGateway:
    name: egressgateway
  egressRules:
  - from:
    - namespace: mytest
      workloadSelector:
        app: sleep-a
    to:
    - byEgressGateway: {}
      hosts:
      - www.alibabacloud.com
      name: aliyun-service-tcp
      port:
        name: tcp
        number: 443
        protocol: TCP

      2. ACK クラスターで、次のコマンドを実行して ASMEgressTrafficPolicy リソースを作成します。

        kubectl apply -f egress-by-egressgateway.yaml

    2. ASMEgressTrafficPolicy の設定が適用されていることを確認します。

      1. mytest 名前空間の sleep-a サービスを検証します。

        1. 次のコマンドを実行して、sleep-a サービスから www.alibabacloud.com にアクセスします。

          kubectl -n mytest exec deployment/sleep-a -- curl -s -o /dev/null -w "%{http_code}\n" http://www.alibabacloud.com

          出力は 502 であり、sleep-a サービスが http://www.alibabacloud.com へのアクセスに失敗したことを示しています。

        2. 次のコマンドを実行して、mytest 名前空間の sleep-a サービスから https://www.alibabacloud.com にアクセスします。

          kubectl -n mytest exec deployment/sleep-a -- curl  -s -o /dev/null -w "%{http_code}\n"  https://www.alibabacloud.com

          出力は 200 となり、sleep-a サービスが https://www.alibabacloud.com へのアクセスに成功したことを示します。

      2. デフォルト名前空間の Nginx サービスを検証します。

        1. 次のコマンドを実行して、Nginx サービスから http://www.alibabacloud.com にアクセスします。

          kubectl -n default exec deployment/nginx -- curl -s -o /dev/null -w "%{http_code}\n" http://www.alibabacloud.com

          出力は 502 であり、これは Nginx サービスが http://www.alibabacloud.com へのアクセスに失敗したことを示します。

        2. 次のコマンドを実行して、Nginx サービスから https://www.alibabacloud.com にアクセスします。

          kubectl -n default exec deployment/nginx -- curl -s -o /dev/null -w "%{http_code}\n" https://www.alibabacloud.com

          出力は、接続が拒否されたことを示しており、Nginx サービスが https://www.alibabacloud.com へのアクセスに失敗したことを意味します。

        3. 次のコマンドを実行して Nginx ワークロードのサイドカーのアクセスログを検査し、接続が拒否された理由を理解します。

           kubectl -n default  logs -f deployment/nginx -c istio-proxy --tail=1

          期待される出力：

          {"authority":"-","bytes_received":"0","bytes_sent":"0","downstream_local_address":"52.86.XX.XX:443","downstream_remote_address":"172.16.0.199:56748","duration":"0","istio_policy_status":"-","method":"-","path":"-","protocol":"-","request_id":"-","requested_server_name":"-","response_code":"0","response_flags":"UH","route_name":"-","start_time":"2023-04-11T02:00:07.409Z","trace_id":"-","upstream_cluster":"BlackHoleCluster","upstream_host":"-","upstream_local_address":"-","upstream_service_time":"-","upstream_transport_failure_reason":"-","user_agent":"-","x_forwarded_for":"-"}

          出力は、リクエストが BlackHoleCluster にルーティングされ、接続が拒否されたことを示しています。

      3. 次のコマンドを実行して egress-by-egressgateway を削除し、mytest 名前空間の sleep-a サービスから http://www.alibabacloud.com と https://www.alibabacloud.com に再度アクセスを試みます。

        kubectl -n istio-egress delete ASMEgressTrafficPolicy  egress-by-egressgateway
kubectl -n mytest exec deployment/sleep-a -- curl -s -o /dev/null -w "%{http_code}\n"  http://www.alibabacloud.com
kubectl -n mytest exec deployment/sleep-a -- curl -s -o /dev/null -w "%{http_code}\n"  https://www.alibabacloud.com

        http://www.alibabacloud.com へのリクエストは 502 エラーを返し、https://www.alibabacloud.com へのリクエストは拒否されます。 これは、ASMEgressTrafficPolicy 設定を削除すると、sleep-a サービスが http://www.alibabacloud.com または https://www.alibabacloud.com にアクセスできなくなることを示しています。

        これらの結果は、ASMEgressTrafficPolicy の設定が期待どおりに機能することを確認するものです。

    関連操作

    特定の名前空間からの POST リクエストの拒否

    ASM エグレスゲートウェイと ASMEgressTrafficPolicy を使用して、クラスターからのエグレストラフィックをコントロールします。 よりきめ細かいアクセスの制御を行うには、AuthorizationPolicy を適用します。 たとえば、次の設定は mytest 名前空間からの POST リクエストを拒否します。

    kind: AuthorizationPolicy
apiVersion: security.istio.io/v1beta1
metadata:
  name: sleep-a-egress-www-httpbin-org
  namespace: istio-system
spec:
  action: DENY
  rules:
    - to:
        - operation:
            hosts:
            - www.httpbin.org
            - httpbin.org
            methods:
              - POST
      from:
        - source:
            namespaces: ["mytest"]
  selector:
    matchLabels:
      istio: egressgateway-a

    この設定を適用した後、sleep-a サービスから www.httpbin.org への POST リクエストは RBAC: access を返します。 sleep-a サービスから www.httpbin.org への GET リクエストは影響を受けません。