:Primeiros passos

Para instâncias do ASM V1.21 e anteriores

Utilize a Kubernetes Gateway API para implantar um waypoint proxy para a conta de serviço bookinfo-productpage. Esse waypoint proxy será usado pelo serviço productpage. Todo o tráfego destinado ao serviço productpage passará por esse proxy de camada 7.

1. Execute o comando abaixo para implantar um waypoint proxy para a conta de serviço bookinfo-productpage:

   istioctl x waypoint apply --service-account bookinfo-productpage

2. Visualize o status do waypoint proxy do serviço productpage executando o seguinte comando:

   kubectl get gtw bookinfo-productpage -o yaml

   Expand to view the expected output

   apiVersion: gateway.networking.k8s.io/v1beta1
   kind: Gateway
   metadata:
     annotations:
       gateway.istio.io/controller-version: "5"
       istio.io/for-service-account: bookinfo-productpage
     creationTimestamp: "2023-08-10T08:35:51Z"
     generation: 1
     name: bookinfo-productpage
     namespace: default
     resourceVersion: "7828921"
     uid: c085b788-a8fa-4a2c-8376-18d08689****
   spec:
     gatewayClassName: istio-waypoint
     listeners:
     - allowedRoutes:
         namespaces:
           from: Same
       name: mesh
       port: 15008
       protocol: HBONE
   status:
     conditions:
     - lastTransitionTime: "2023-08-10T08:35:51Z"
       message: Handled by Istio controller
       observedGeneration: 1
       reason: Accepted
       status: "True"
       type: Accepted

3. Modifique a política de autorização.

   1. Copie o conteúdo abaixo para o arquivo productpage-viewer.yaml. Isso permitirá explicitamente que as contas de serviço da aplicação sleep e do gateway acessem o serviço productpage por meio de requisições GET, bloqueando outras operações.

      apiVersion: security.istio.io/v1beta1
      kind: AuthorizationPolicy
      metadata:
       name: productpage-viewer
       namespace: default
      spec:
       selector:
         matchLabels:
           istio.io/gateway-name: bookinfo-productpage
       action: ALLOW
       rules:
       - from:
         - source:
             principals:
             - cluster.local/ns/default/sa/sleep
             - cluster.local/ns/istio-system/sa/istio-ingressgateway
         to:
         - operation:
             methods: ["GET"]

   2. Reimplante a política de autorização executando o comando a seguir:

      kubectl apply -f productpage-viewer.yaml

4. Verifique se a política de autorização entrou em vigor.

   1. Execute o seguinte comando:

      kubectl exec deploy/sleep -- curl -s "http://$GATEWAY_HOST/productpage" -X DELETE

      Saída esperada:

       RBAC: access denied                                                                                                       

   2. Execute o seguinte comando:

      kubectl exec deploy/notsleep -- curl -s http://productpage:9080/

      Saída esperada:

        RBAC: access denied

   3. Execute o seguinte comando:

      kubectl exec deploy/sleep -- curl -s http://productpage:9080/ | grep -o "<title>.*</title>"

      Saída esperada:

       <title>Simple Bookstore App</title>

      A saída anterior indica que a política de autorização está em vigor.

Para instâncias do ASM V1.22 e posteriores

Para usar recursos de camada 7 no modo Ambient Mesh, primeiro ative um waypoint proxy para o serviço ou carga de trabalho especificado.

Como ativar um waypoint proxy para o serviço ou carga de trabalho especificado?

As instâncias do ASM V1.22 oferecem um novo método de configuração de waypoint proxies. Com ele, você ativa esses proxies de forma flexível em diferentes escopos. A configuração envolve duas partes:

1. Primeiro, crie um waypoint proxy e use rótulos para especificar o tráfego ao qual ele se aplica.

   apiVersion: gateway.networking.k8s.io/v1
   kind: Gateway
   metadata:
     labels:
       istio.io/waypoint-for: service
     name: waypoint
     namespace: default
   spec:
     gatewayClassName: istio-waypoint
     listeners:
     - name: mesh
       port: 15008
       protocol: HBONE

   1. O campo gatewayClassName deste gateway é istio-waypoint, o que indica a criação de um waypoint proxy.

   2. Este gateway possui um rótulo especial istio.io/waypoint-for: service, indicando que o waypoint proxy é dedicado ao tráfego do serviço. Além de service, o campo istio.io/waypoint-for pode ser definido como workload (dedicado a pods) ou all (serviço e carga de trabalho).

2. Especifique qual tráfego o waypoint proxy processará. Adicione o rótulo istio.io/use-waypoint ao serviço, namespace ou pod e defina seu valor como o nome do waypoint proxy desejado.

   apiVersion: v1
   kind: Service
   metadata:
     labels:
       app: httpbin
       service: httpbin
       istio.io/use-waypoint: waypoint
     name: httpbin
     namespace: default
   spec:
     ports:
     - name: http
       port: 8000
       protocol: TCP
       targetPort: 80
     selector:
       app: httpbin
     type: ClusterIP

Demonstração

A seção a seguir demonstra como usar políticas de autorização de camada 7 no ambiente descrito neste tópico.

1. Conecte-se ao cluster ACK via kubectl usando as informações do arquivo kubeconfig. Em seguida, implante o seguinte conteúdo do waypoint proxy no namespace default:

   apiVersion: gateway.networking.k8s.io/v1
   kind: Gateway
   metadata:
     labels:
       istio.io/waypoint-for: service
     name: waypoint
     namespace: default
   spec:
     gatewayClassName: istio-waypoint
     listeners:
     - name: mesh
       port: 15008
       protocol: HBONE

2. Conecte-se ao cluster ACK via kubectl usando as informações do arquivo kubeconfig. Depois, execute o comando abaixo para adicionar um rótulo ao serviço productpage, garantindo que seu tráfego seja processado pelo waypoint proxy:

   kubectl label service productpage istio.io/use-waypoint=waypoint

3. Atualize a política de autorização com o seguinte conteúdo:

   apiVersion: security.istio.io/v1beta1
   kind: AuthorizationPolicy
   metadata:
     name: productpage-viewer
     namespace: default
   spec:
     targetRefs:
     - kind: Service
       group: ""
       name: productpage
     action: ALLOW
     rules:
     - from:
       - source:
           principals:
           - cluster.local/ns/default/sa/sleep
       to:
       - operation:
           methods: ["GET"]

   A nova política de autorização indica explicitamente que apenas requisições GET da aplicação sleep podem acessar o serviço productpage; todas as demais serão rejeitadas.

   Nota

   Se a aplicação da política de autorização acima falhar, exclua a política original e aplique-a novamente.

4. Verifique se a política de autorização entrou em vigor.

   1. Conecte-se ao cluster ACK via kubectl usando as informações do arquivo kubeconfig. Em seguida, execute o comando abaixo para acessar o serviço productpage com uma requisição GET:

      kubectl exec deploy/sleep -- curl -s http://productpage:9080/ | grep -o "<title>.*</title>"

      Saída esperada:

      <title>Simple Bookstore App</title>

   2. Execute o comando a seguir para acessar o serviço productpage com uma requisição DELETE:

      kubectl exec deploy/sleep -- curl -XDELETE -s http://productpage:9080/

      Saída esperada:

      RBAC: access denied

   3. Execute o comando abaixo para acessar o serviço productpage com uma requisição GET:

      kubectl exec deploy/notsleep -- curl -s http://productpage:9080/

      Saída esperada:

      RBAC: access denied

   A saída anterior indica que a política de autorização está em vigor.