Alibaba Cloud Service Mesh:ゼロトラストセキュリティ

コンソールでのワークロード ID の確認

1. ASM コンソールにログインします。左側のナビゲーションウィンドウで、Service Mesh > Mesh Management を選択します。

2. Mesh Management ページで、ASM インスタンスの名前をクリックします。左側のナビゲーションウィンドウで、Mesh Security Center > ワークロード ID を選択します。

3. ワークロード ID ページで、データプレーン ドロップダウンリストからクラスターを、名前空間 ドロップダウンリストから名前空間を選択し、ワークロード ID を表示します。

例：サービスに対する JWT 認証の設定

この例では、Bookinfo サンプルアプリケーションをターゲットサービスとして使用し、sleep Pod をクライアントとして使用します。

前提条件

Bookinfo アプリケーションをデプロイします。詳細については、「ASM インスタンスへのアプリケーションのデプロイ」をご参照ください。

手順 1：sleep クライアントのデプロイ

1. 次の内容で sleep.yaml ファイルを作成します。

   sleep.yaml を表示

      apiVersion: v1
      kind: ServiceAccount
      metadata:
        name: sleep
      ---
      apiVersion: v1
      kind: Service
      metadata:
        name: sleep
        labels:
          app: sleep
          service: sleep
      spec:
        ports:
        - port: 80
          name: http
        selector:
          app: sleep
      ---
      apiVersion: apps/v1
      kind: Deployment
      metadata:
        name: sleep
      spec:
        replicas: 1
        selector:
          matchLabels:
            app: sleep
        template:
          metadata:
            labels:
              app: sleep
          spec:
            terminationGracePeriodSeconds: 0
            serviceAccountName: sleep
            containers:
            - name: sleep
              image: curlimages/curl
              command: ["/bin/sleep", "3650d"]
              imagePullPolicy: IfNotPresent
              volumeMounts:
              - mountPath: /etc/sleep/tls
                name: secret-volume
            volumes:
            - name: secret-volume
              secret:
                secretName: sleep-secret
                optional: true

2. kubectl を使用して Container Service for Kubernetes (ACK) クラスターに接続し、sleep アプリケーションをデプロイします。

      kubectl apply -f sleep.yaml -n default

手順 2：リクエスト認証ポリシーの作成

1. ASM コンソールにログインします。左側のナビゲーションウィンドウで、Service Mesh > Mesh Management を選択します。

2. Mesh Management ページで、ASM インスタンスの名前をクリックします。左側のナビゲーションウィンドウで、Mesh Security Center > RequestAuthentication を選択し、作成 をクリックします。

3. 次のパラメーターを使用して details ワークロード向けの JWT ルールを定義し、作成 をクリックします。主なパラメーター：JWKS 値：詳細については、jwks.json をご参照ください。

   パラメーター	値	説明
   issuer	testing@asm.istio.io	JWT の発行者。
   audiences	(空白)	すべてのサービスがこの JWT を使用できるようにするには、空白のままにしてください。
   jwks	下記参照	JWT 署名を検証するために使用される JSON Web Key Set。

      { "keys":[ {"e":"AQAB","kid":"DHFbpoIUqrY8t2zpA2qXfCmr5VO5ZEr4RzHU_-envvQ","kty":"RSA","n":"xAE7eB6qugXyCAG3yhh7pkDkT65pHymX-P7KfIupjf59vsdo91bSP9C8H07pSAGQO1MV_xFj9VswgsCg4R6otmg5PV2He95lZdHtOcU5DXIg_pbhLdKXbi66GlVeK6ABZOUW3WYtnNHD-91gVuoeJT_DwtGGcp4ignkgXfkiEm4sw-4sfb4qdt5oLbyVpmW6x9cfa7vs2WTfURiCrBoUqgBo_-4WTiULmmHSGZHOjzwa8WtrtOQGsAFjIbno85jp6MnGGGZPYZbDAa_b3y5u-YpW7ypZrvD8BgtKVjgtQgZhLAGezMt0ua3DRrWnKqTZ0BJ_EyxOGuHJrLsn00fnMQ"}]}

   

手順 3：ポリシーの検証

1. JWT ツールを使用して JWKS を JWT 文字列にエンコードします。期待される結果：

      eyJhbGciOiJSUzI1NiIsImtpZCI6IkRIRmJwb0lVcXJZOHQyenBBMnFYZkNtcjVWTzVaRXI0UnpIVV8tZW52dlEiLCJ0eXAiOiJKV1QifQ.eyJleHAiOjQ2ODU5ODk3MDAsImZvbyI6ImJhciIsImlhdCI6MTUzMjM4OTcwMCwiaXNzIjoidGVzdGluZ0BzZWN1cmUuaXN0aW8uaW8iLCJzdWIiOiJ0ZXN0aW5nQHNlY3VyZS5pc3Rpby5pbyJ9.CfNnxWP2tcnR9q0vxyxweaF3ovQYHYZl82hAUsn21bwQd9zP7c-LS9qd_vpdLG4Tn1A15NxfCjp5f7QNBUo-KC9PJqYpgGbaXhaGx7bEdFWjcwv3nZzvc7M__ZpaCERdwU7igUmJqYGBYQ51vr2njU9ZimyKkfDe3axcyiBZde7G6dabliUosJvvKOPcKIWPccCgefSj_GNfwIip3-SsFdlR7BtbVUcqR-yv-XOxJ3Uc1MI0tz3uMiiZcyPV7sNCU4KRnemRIMHVOfuvHsU60_GhGbiSFzgPTAa9WTltbnarTbxudb_YEOx12JiwYToeX0DCPb43W1tzIBxgm8NxUg

2. 有効な JWT を含むリクエストを送信します。期待される出力：200。有効な JWT が受理されました。

      export TOKEN=eyJhbGciOiJSUzI1NiIsImtpZCI6IkRIRmJwb0lVcXJZOHQyenBBMnFYZkNtcjVWTzVaRXI0UnpIVV8tZW52dlEiLCJ0eXAiOiJKV1QifQ.eyJleHAiOjQ2ODU5ODk3MDAsImZvbyI6ImJhciIsImlhdCI6MTUzMjM4OTcwMCwiaXNzIjoidGVzdGluZ0BzZWN1cmUuaXN0aW8uaW8iLCJzdWIiOiJ0ZXN0aW5nQHNlY3VyZS5pc3Rpby5pbyJ9.CfNnxWP2tcnR9q0vxyxweaF3ovQYHYZl82hAUsn21bwQd9zP7c-LS9qd_vpdLG4Tn1A15NxfCjp5f7QNBUo-KC9PJqYpgGbaXhaGx7bEdFWjcwv3nZzvc7M__ZpaCERdwU7igUmJqYGBYQ51vr2njU9ZimyKkfDe3axcyiBZde7G6dabliUosJvvKOPcKIWPccCgefSj_GNfwIip3-SsFdlR7BtbVUcqR-yv-XOxJ3Uc1MI0tz3uMiiZcyPV7sNCU4KRnemRIMHVOfuvHsU60_GhGbiSFzgPTAa9WTltbnarTbxudb_YEOx12JiwYToeX0DCPb43W1tzIBxgm8NxUg
   
      kubectl exec $(kubectl get pod -l app=sleep -o jsonpath={.items..metadata.name}) -c sleep \
        -- curl http://details:9080/details/1 -o /dev/null \
        --header "Authorization: Bearer $TOKEN" -s -w '%{http_code}\n'

3. 無効な JWT を含むリクエストを送信します。期待される出力：403。無効なトークンが拒否されました。

      kubectl exec $(kubectl get pod -l app=sleep -o jsonpath={.items..metadata.name}) -c sleep \
        -- curl http://details:9080/details/1 -o /dev/null \
        --header "Authorization: Bearer badtoken" -s -w '%{http_code}\n'

4. JWT を含まないリクエストを送信します。期待される出力：200。JWT がない場合、リクエストは JWT 検証をバイパスし、許可されます。

      kubectl exec $(kubectl get pod -l app=sleep -o jsonpath={.items..metadata.name}) -c sleep \
        -- curl http://details:9080/details/1 -o /dev/null -s -w '%{http_code}\n'

これらの結果により、ポリシーが期待通りに動作していることが確認できました。有効な JWT は通過し、無効な JWT は拒否され、JWT を含まないリクエストは権限付与ポリシーで制限されていない限り許可されます。

例：すべてのリクエストに対して有効な JWT を必須とする

この例は、前述のリクエスト認証設定に基づいています。JWT が有効でないリクエストをブロックする権限付与ポリシーを追加します。

前提条件

• Bookinfo アプリケーションをデプロイします。詳細については、「ASM インスタンスへのアプリケーションのデプロイ」をご参照ください。

• 前述のリクエスト認証セクションで説明されているとおり、sleep クライアントをデプロイします。

手順 1：権限付与ポリシーの作成

1. ASM コンソールにログインします。左側のナビゲーションウィンドウで、Service Mesh > Mesh Management を選択します。

2. Mesh Management ページで、ASM インスタンスの名前をクリックします。左側のナビゲーションウィンドウで、Mesh Security Center > AuthorizationPolicy を選択し、YAML から作成 をクリックします。

3. 名前空間 ドロップダウンリストから default を選択し、次の YAML を貼り付けて、作成 をクリックします。このポリシーは、リクエストプリンシパルが testing@secure.istio.io/testing@secure.istio.io と一致する場合にのみ、details サービスへのリクエストを許可します。つまり、この ID によって発行された有効な JWT をリクエストが持っている必要があります。権限付与ポリシーのフィールドの詳細については、「Authorization Policy」をご参照ください。

      apiVersion: security.istio.io/v1beta1
      kind: AuthorizationPolicy
      metadata:
        name: require-jwt
        namespace: default
      spec:
        action: ALLOW
        rules:
          - from:
              - source:
                  requestPrincipals:
                    - testing@secure.istio.io/testing@secure.istio.io
        selector:
          matchLabels:
            app: details

手順 2：ポリシーの検証

JWT を含まないリクエストを送信します。

kubectl exec $(kubectl get pod -l app=sleep -o jsonpath={.items..metadata.name}) -c sleep \
  -- curl http://details:9080/details/1 -o /dev/null -s -w '%{http_code}\n'

期待される出力：403。権限付与ポリシーにより、testing@secure.istio.io から発行された有効な JWT を含まないリクエストがブロックされます。