Alibaba Cloud Service Mesh:ゼロトラストセキュリティの概要

ワークロード ID

アプリケーションが ASM 環境で実行されると、ASM は各サービスに一意の ID を提供します。この ID は、サービスが ASM で実行されている他のマイクロサービスに接続するときに使用されます。サービス ID は、サービス間のアクセスが許可されているかどうかを確認するために、サービス間の双方向検証に使用できます。サービス ID は、権限付与ポリシーでも使用できます。

ASM を使用して Kubernetes 上で実行されているワークロードを管理する場合、ASM は各ワークロードにサービス ID を提供します。この ID は、ワークロードのサービスアカウントトークンに基づいています。

ASM のサービス ID は SPIFFE 標準に準拠しており、次のフォーマットです: spiffe://<trust-domain>/ns/<namespace>/sa/<service-account>。

ASM コンソールにログインして、Kubernetes クラスターから接続されているサービスを表示できます。

1. ASM コンソールにログインします。左側のナビゲーションウィンドウで、[Service Mesh] > [メッシュ管理] を選択します。

2. [メッシュ管理] ページで、ASM インスタンスの名前をクリックします。左側のナビゲーションウィンドウで、[メッシュセキュリティセンター] > [ワークロード ID] を選択します。

3. [ワークロード ID] ページの上部で、[データプレーン] をクラスター ID に設定し、[名前空間] を選択して、Kubernetes クラスターからサービスメッシュに接続されているサービスのワークロード ID を表示します。

ピア認証

ASM は、ピア認証とリクエスト認証の 2 種類の認証を提供します。ピア認証とは、2 つのマイクロサービスが対話するときに、ピアツーピアの ID 認証のために双方向 TLS を有効にできることを意味します。

• リクエストのクライアントとサーバーの両方で Ambient モードが有効になっている場合、ASM ではデフォルトで mTLS 通信が有効になります。

• クライアントのみが Ambient モードのクライアント Pod を持つ場合、サーバーはメッシュプロキシを持つかどうかに基づいて mTLS 通信を有効にするかどうかを決定します。

• サーバーのみが Ambient モードを有効にしている場合、デフォルトの mTLS モードは PERMISSIVE であり、プレーンテキストと暗号化されたトラフィックの両方を受け入れます。サーバーに PeerAuthentication ポリシーを設定し、mTLS モードを STRICT に設定すると、リクエストは失敗します。

リクエスト認証

ASM は、ピア認証とリクエスト認証の 2 種類の認証を提供します。リクエスト認証により、エンドユーザーとシステムはマイクロサービスと対話できます。この操作は通常、JSON Web トークン (JWT) を使用して実行されます。

マイクロサービスがリクエストされると、リクエスト認証ポリシーを作成して、サービスへのリクエストに対して JWT 認証を実行できます。リクエスト認証は、JWT を含むリクエストに対して JWT 認証を実行します。有効な JWT を持つリクエストのみがサービスに正常にアクセスできます。リクエスト認証は、JWT を含まないリクエストに対して JWT 認証を実行しません。したがって、JWT を持たないリクエストは、制限なくサービスにアクセスできます。

1. リクエストされた bookinfo アプリケーションをデプロイします。詳細については、「サンプルアプリケーションをデプロイし、暗号化通信のために Ambient モードを有効にする」をご参照ください。

2. リクエストを送信する sleep アプリケーションをデプロイします。

   1. ACK クラスターに対応する kubeconfig 環境で、sleep.yaml ファイルを作成します。

      sleep.yaml を展開して表示

      apiVersion: v1
      kind: ServiceAccount
      metadata:
        name: sleep
      ---
      apiVersion: v1
      kind: Service
      metadata:
        name: sleep
        labels:
          app: sleep
          service: sleep
      spec:
        ports:
        - port: 80
          name: http
        selector:
          app: sleep
      ---
      apiVersion: apps/v1
      kind: Deployment
      metadata:
        name: sleep
      spec:
        replicas: 1
        selector:
          matchLabels:
            app: sleep
        template:
          metadata:
            labels:
              app: sleep
          spec:
            terminationGracePeriodSeconds: 0
            serviceAccountName: sleep
            containers:
            - name: sleep
              image: registry-cn-hangzhou.ack.aliyuncs.com/ack-demo/curl:asm-sleep
              command: ["/bin/sleep", "3650d"]
              imagePullPolicy: IfNotPresent
              volumeMounts:
              - mountPath: /etc/sleep/tls
                name: secret-volume
            volumes:
            - name: secret-volume
              secret:
                secretName: sleep-secret
                optional: true
      ---

   2. 次のコマンドを実行して、sleep アプリケーションをデプロイします。

      kubectl apply -f sleep.yaml -n default 

3. リクエスト認証ポリシーを作成して、details サービスへのインバウンドリクエストに JWT 認証を適用します。

   1. ASM コンソールにログインします。左側のナビゲーションウィンドウで、[Service Mesh] > [メッシュ管理] を選択します。

   2. [メッシュ管理] ページで、ASM インスタンスの名前をクリックします。左側のナビゲーションウィンドウで、[メッシュセキュリティセンター] > [RequestAuthentication] を選択します。表示されたページで、[作成] をクリックします。

   3. 作成ページで、次の情報を設定して details ワークロードの JWT ルールを定義し、[作成] をクリックします。

      

      次のリストは、設定項目の一部を説明しています:

      • issuer: JWT の発行者。この例では testing@secure.istio.io に設定します。

      • audiences: JWT オーディエンスのリスト。このフィールドは、どのサービスが JWT を使用して宛先サービスにアクセスできるかを指定します。この例では空のままにしており、アクセスするサービスに制限がないことを意味します。

      • jwks: JWT リクエスト情報。この例では、JWT リクエスト情報を次のように設定します。詳細については、「jwks.json」をご参照ください。

        { "keys":[ {"e":"AQAB","kid":"DHFbpoIUqrY8t2zpA2qXfCmr5VO5ZEr4RzHU_-envvQ","kty":"RSA","n":"xAE7eB6qugXyCAG3yhh7pkDkT65pHymX-P7KfIupjf59vsdo91bSP9C8H07pSAGQO1MV_xFj9VswgsCg4R6otmg5PV2He95lZdHtOcU5DXIg_pbhLdKXbi66GlVeK6ABZOUW3WYtnNHD-91gVuoeJT_DwtGGcp4ignkgXfkiEm4sw-4sfb4qdt5oLbyVpmW6x9cfa7vs2WTfURiCrBoUqgBo_-4WTiULmmHSGZHOjzwa8WtrtOQGsAFjIbno85jp6MnGGGZPYZbDAa_b3y5u-YpW7ypZrvD8BgtKVjgtQgZhLAGezMt0ua3DRrWnKqTZ0BJ_EyxOGuHJrLsn00fnMQ"}]}

4. JWT ツールを使用して、JWT リクエスト情報を JWT にエンコードします。

   { "keys":[ {"e":"AQAB","kid":"DHFbpoIUqrY8t2zpA2qXfCmr5VO5ZEr4RzHU_-envvQ","kty":"RSA","n":"xAE7eB6qugXyCAG3yhh7pkDkT65pHymX-P7KfIupjf59vsdo91bSP9C8H07pSAGQO1MV_xFj9VswgsCg4R6otmg5PV2He95lZdHtOcU5DXIg_pbhLdKXbi66GlVeK6ABZOUW3WYtnNHD-91gVuoeJT_DwtGGcp4ignkgXfkiEm4sw-4sfb4qdt5oLbyVpmW6x9cfa7vs2WTfURiCrBoUqgBo_-4WTiULmmHSGZHOjzwa8WtrtOQGsAFjIbno85jp6MnGGGZPYZbDAa_b3y5u-YpW7ypZrvD8BgtKVjgtQgZhLAGezMt0ua3DRrWnKqTZ0BJ_EyxOGuHJrLsn00fnMQ"}]}

   エンコードされたトークンは次のようになります:

   eyJhbGciOiJSUzI1NiIsImtpZCI6IkRIRmJwb0lVcXJZOHQyenBBMnFYZkNtcjVWTzVaRXI0UnpIVV8tZW52dlEiLCJ0eXAiOiJKV1QifQ.eyJleHAiOjQ2ODU5ODk3MDAsImZvbyI6ImJhciIsImlhdCI6MTUzMjM4OTcwMCwiaXNzIjoidGVzdGluZ0BzZWN1cmUuaXN0aW8uaW8iLCJzdWIiOiJ0ZXN0aW5nQHNlY3VyZS5pc3Rpby5pbyJ9.CfNnxWP2tcnR9q0vxyxweaF3ovQYHYZl82hAUsn21bwQd9zP7c-LS9qd_vpdLG4Tn1A15NxfCjp5f7QNBUo-KC9PJqYpgGbaXhaGx7bEdFWjcwv3nZzvc7M__ZpaCERdwU7igUmJqYGBYQ51vr2njU9ZimyKkfDe3axcyiBZde7G6dabliUosJvvKOPcKIWPccCgefSj_GNfwIip3-SsFdlR7BtbVUcqR-yv-XOxJ3UcMI0tz3uMiiZcyPV7sNCU4KRnemRIMHVOfuvHsU60_GhGbiSFzgPTAa9WTltbnarTbxudb_YEOx12JiwYToeX0DCPb43W1tzIBxgm8NxUg

5. リクエスト認証が有効であることを確認します。

   1. 次のコマンドを実行して、エンコードされた JWT を使用して details サービスにアクセスします。

      export TOKEN=eyJhbGciOiJSUzI1NiIsImtpZCI6IkRIRmJwb0lVcXJZOHQyenBBMnFYZkNtcjVWTzVaRXI0UnpIVV8tZW52dlEiLCJ0eXAiOiJKV1QifQ.eyJleHAiOjQ2ODU5ODk3MDAsImZvbyI6ImJhciIsImlhdCI6MTUzMjM4OTcwMCwiaXNzIjoidGVzdGluZ0BzZWN1cmUuaXN0aW8uaW8iLCJzdWIiOiJ0ZXN0aW5nQHNlY3VyZS5pc3Rpby5pbyJ9.CfNnxWP2tcnR9q0vxyxweaF3ovQYHYZl82hAUsn21bwQd9zP7c-LS9qd_vpdLG4Tn1A15NxfCjp5f7QNBUo-KC9PJqYpgGbaXhaGx7bEdFWjcwv3nZzvc7M__ZpaCERdwU7igUmJqYGBYQ51vr2njU9ZimyKkfDe3axcyiBZde7G6dabliUosJvvKOPcKIWPccCgefSj_GNfwIip3-SsFdlR7BtbVUcqR-yv-XOxJ3UcMI0tz3uMiiZcyPV7sNCU4KRnemRIMHVOfuvHsU60_GhGbiSFzgPTAa9WTltbnarTbxudb_YEOx12JiwYToeX0DCPb43W1tzIBxgm8NxUg
      kubectl exec $(kubectl get pod -l app=sleep -o jsonpath={.items..metadata.name}) -c sleep -- curl http://details:9080/details/1 -o /dev/null --header "Authorization: Bearer $TOKEN" -s -w '%{http_code}\n'        

      `200` の応答が返され、アクセスが成功したことを示します。

   2. 次のコマンドを実行して、無効な JWT を使用して details サービスにアクセスします。

      kubectl exec $(kubectl get pod -l app=sleep -o jsonpath={.items..metadata.name}) -c sleep -- curl http://details:9080/details/1 -o /dev/null --header "Authorization: Bearer badtoken" -s -w '%{http_code}\n'                              

      `403` の応答が返され、アクセスが失敗したことを示します。

   3. 次のコマンドを実行して、JWT なしで details サービスにアクセスします。

      kubectl exec $(kubectl get pod -l app=sleep -o jsonpath={.items..metadata.name}) -c sleep -- curl http://details:9080/details/1 -o /dev/null  -s -w '%{http_code}\n'

      `200` の応答が返され、アクセスが成功したことを示します。

      結果に基づくと、有効な JWT ではアクセスが成功し、無効な JWT では失敗し、JWT がないと成功します。これは、リクエスト認証が有効であることを示しています。

権限付与ポリシー

マイクロサービスがリクエストされると、権限付与ポリシーを使用して、ポート、IP アドレス、ソースなどの要素に基づいてリクエストを制限できます。要件を満たすリクエストのみがサービスにアクセスできます。次の権限付与ポリシーは、リクエストソースを制限します。サービスにアクセスするには、リクエストに特定の発行者によって発行された JWT が含まれている必要があります。

1. リクエストされた bookinfo アプリケーションをデプロイします。詳細については、「ASM インスタンスに関連付けられたクラスターにアプリケーションをデプロイする」をご参照ください。

2. リクエストを送信する sleep アプリケーションをデプロイします。

   1. 次の内容で sleep.yaml ファイルを作成します。

      sleep.yaml を展開して表示

      apiVersion: v1
      kind: ServiceAccount
      metadata:
        name: sleep
      ---
      apiVersion: v1
      kind: Service
      metadata:
        name: sleep
        labels:
          app: sleep
          service: sleep
      spec:
        ports:
        - port: 80
          name: http
        selector:
          app: sleep
      ---
      apiVersion: apps/v1
      kind: Deployment
      metadata:
        name: sleep
      spec:
        replicas: 1
        selector:
          matchLabels:
            app: sleep
        template:
          metadata:
            labels:
              app: sleep
          spec:
            terminationGracePeriodSeconds: 0
            serviceAccountName: sleep
            containers:
            - name: sleep
              image: registry-cn-hangzhou.ack.aliyuncs.com/ack-demo/curl:asm-sleep
              command: ["/bin/sleep", "3650d"]
              imagePullPolicy: IfNotPresent
              volumeMounts:
              - mountPath: /etc/sleep/tls
                name: secret-volume
            volumes:
            - name: secret-volume
              secret:
                secretName: sleep-secret
                optional: true
      ---

   2. ACK クラスターに対応する kubeconfig 環境で、次のコマンドを実行して sleep アプリケーションをデプロイします。

      kubectl apply -f sleep.yaml -n default 

3. 権限付与ポリシーを作成します。

   1. ASM コンソールにログインします。左側のナビゲーションウィンドウで、[Service Mesh] > [メッシュ管理] を選択します。

   2. [メッシュ管理] ページで、ASM インスタンスの名前をクリックします。左側のナビゲーションウィンドウで、[メッシュセキュリティセンター] > [AuthorizationPolicy] を選択します。表示されたページで、[YAML から作成] をクリックします。

4. [作成] ページで、[default] 名前空間を選択し、次の YAML を設定してから、[作成] をクリックします。

   フィールドの詳細については、「Authorization Policy」をご参照ください。

   apiVersion: security.istio.io/v1beta1
   kind: AuthorizationPolicy
   metadata:
     name: require-jwt
     namespace: default
   spec:
     action: ALLOW
     rules:
       - from:
           - source:
               requestPrincipals:
                 - testing@secure.istio.io/testing@secure.istio.io
     selector:
       matchLabels:
         app: details

5. 次のコマンドを実行して、JWT を持たないリクエストでサービスにアクセスします。

    kubectl exec $(kubectl get pod -l app=sleep -o jsonpath={.items..metadata.name}) -c sleep -- curl http://details:9080/details/1 -o /dev/null  -s -w '%{http_code}\n'

   期待される出力:

   403

   JWT なしで details サービスへのアクセスが失敗します。これは、権限付与ポリシーが有効であることを示しています。権限付与ポリシーはすべてのリクエストを制限し、サービスに正常にアクセスするには testing@secure.istio.io によって発行された JWT を持つ必要があります。

参照ケース

• イングレスゲートウェイで権限付与ポリシーを使用して、IP ベースのアクセス制御またはカスタム外部権限付与に基づくアクセス制御を実装します。

• ある金融テクノロジーのお客様は、ASM 権限付与ポリシーを使用して、外部向けエリアとアプリケーションエリアを分離し、クラスターをまたがる多言語アプリケーションのアクセスを制御しています。また、エグレスゲートウェイを使用してメッシュトラフィックを監査し、権限付与ポリシーと組み合わせて、サードパーティサービスへのアプリケーションアクセスを制御しています。