Configure a blacklist/whitelist in an ASM security policy to implement access control for application traffic - Alibaba Cloud Service Mesh

Kullanıcıların hizmetlere yönelik erişim izinlerini hassas şekilde kontrol etmek için Service Mesh (ASM) içindeki ilgili güvenlik ilkelerinde bir kara liste veya beyaz liste yapılandırabilirsiniz. Kara listeler ve beyaz listeler, belirli isteklerin uygulamalara erişimini engelleyen veya buna izin veren yaygın yetkilendirme mekanizmalarıdır. ASM; IP adresleri, HTTP alan adları ve bağlantı noktaları gibi birden fazla boyuttan doğu-batı ve kuzey-güney trafiğini kontrol etmek için kara listeler ve beyaz listeler yapılandırmanıza olanak tanır. Bu sayede ASM'deki uygulamaların güvenliği sağlanır. Bu konuda, bir ASM güvenlik ilkesinde doğu-batı trafiği için nasıl kara liste yapılandırılacağı açıklanmaktadır.

Önkoşullar

Otomatik yan vekil proxy ekleme etkinleştirildi.
Bir giriş ağ geçidi dağıtıldı ve giriş ağ geçidinin IP adresi elde edildi. Daha fazla bilgi için bkz. Giriş ağ geçidi oluşturma.
Uygulama, ASM örneğine eklenen kümede dağıtıldı.
Bir Istio ağ geçidi ve sanal hizmet oluşturuldu. http://${ingress gateway IP address}/productpage adresine erişilebilir. Daha fazla bilgi için bkz. Istio kaynaklarını kullanarak trafiği bir hizmetin farklı sürümlerine yönlendirme bölümündeki 1. Adım ile 3. Adım.

Yordam

ASM konsolu üzerinde oturum açın. Sol gezinme bölmesinde Service Mesh > Mesh Management seçeneklerini seçin.
Mesh Management sayfasında ASM örneğinin adını tıklayın. Sol gezinme bölmesinde Mesh Security Center > ASMSecurityPolicy seçeneklerini seçin.
ASMSecurityPolicy sayfasında Create öğesini tıklayın. Create ASMSecurityPolicy iletişim kutusunda Black/White List seçeneğini belirleyin ve ardından OK düğmesini tıklayın.

Yapılandırma sihirbazının Workload and Match Rules adımında parametreleri yapılandırın ve Submit düğmesini tıklayın.

Parametre	Açıklama
ASMSecurityPolicyName	Adı `test` olarak ayarlayın.
Workload List	Add Workload öğesini tıklayın. Add Workload iletişim kutusunda Workload Scope onay kutusunu seçin. Namespaces değerini default ve Workload Type değerini Service olarak ayarlayın. Select workloads bölümünde productpage öğesini seçin, seçilen iş yükünü selected bölümüne eklemek için simgesini tıklayın ve ardından OK düğmesini tıklayın.
Match Rule List	Match Mode değerini Black List olarak ayarlayın, Port anahtarını açın ve `9080` girin. Bu yapılandırma, productpage pod'unun 9080 numaralı bağlantı noktasına yapılan tüm istekleri reddeder.

İlke oluşturulduktan sonra yapılandırma sihirbazı, Complete adımında ASM security policy created successfully mesajını görüntüler. Kaynak YAML dosyasını görüntülemek için View YAML düğmesini tıklayabilir veya yeni güvenlik ilkesini görüntülemek üzere Complete düğmesini tıklayarak ASMSecurityPolicy sayfasına dönebilirsiniz.

Kara liste yapılandırmalarının etkili olup olmadığını kontrol etmek için aşağıdaki komutu çalıştırın:
```
curl ${ASM_GATEWAY_IP}/productpage -I
```
Beklenen çıktı:
```
HTTP/1.1 403 Forbidden
content-length: 19
content-type: text/plain
date: Fri, 22 Dec 2023 03:07:26 GMT
server: istio-envoy
x-envoy-upstream-service-time: 10
```
HTTP 403 yanıtı döner. Bu durum, productpage uygulamasına erişim izninizin olmadığını gösterir ve böylece kara listenin etkili olduğu doğrulanır.

Referanslar

ASM güvenlik ilkelerinin kavramları ve özellikleri hakkında daha fazla bilgi için bkz. ASM güvenlik ilkelerine genel bakış.
Farklı kullanıcıların günlük operasyonlarını kaydetmek veya izlemek için küme denetimi özelliğini etkinleştirebilirsiniz. Ayrıca, ASM kaynakları üzerindeki işlemler için denetim uyarıları yapılandırabilir ve önemli kaynaklar değiştiğinde uyarı bildirimlerini uyarı kişilerine zamanında gönderebilirsiniz. Daha fazla bilgi için bkz. ASM'de KubeAPI işlem denetimi özelliğini kullanma ve ASM kaynakları üzerindeki işlemler için denetim uyarıları yapılandırma.