Hizmet ağındaki mikro hizmetler ayrıntılı erişim kontrolü ve kimlik doğrulaması gerektirir. Bu yetenekleri Istio'nun yerel güvenlik kaynaklarıyla uygulamak genellikle soyut ve düşük düzeyli alanlara sahip, birbirine bağımlı birden fazla kaynağı yapılandırmayı gerektirir.
Service Mesh (ASM) güvenlik ilkeleri, yaygın senaryolar için gereken Istio yerel güvenlik kaynaklarını tek bir yapılandırma biriminde toplayarak bu sorunu çözer.
ASM güvenlik ilkeleri nasıl çalışır?
Her ASM güvenlik ilkesi bir veya daha fazla Istio yerel güvenlik kaynağını kapsar. Bir ilke oluşturduğunuzda ASM ilgili Istio kaynaklarını üretir ve bunları ağa uygular. Bu soyutlama yapılandırma karmaşıklığını azaltır. Üretilen Istio kaynaklarını görüntüleyebilir, güvenlik kavramlarını öğrenebilir ve ardından daha karmaşık güvenlik yeteneklerini özelleştirebilirsiniz.
Kimlik doğrulama
Kimlik doğrulama ilkeleri erişim izni vermeden önce kullanıcıların veya hizmetlerin kimliğini doğrular. ASM iki kimlik doğrulama ilkesi sunar:
OpenID Connect (OIDC) tek oturum açma
OpenID Connect (OIDC) kimlik doğrulama ve yetkilendirme protokolüdür; genellikle tek oturum açma (SSO) uygulamak için kullanılır. ASM, giriş ağ geçidi üzerinden belirli hizmetler için OIDC SSO'yu etkinleştirir. Böylece kullanıcılar bir kez kimlik doğrulaması yapar ve tekrar tekrar oturum açmadan birden fazla hizmete erişebilir.
Kurulum talimatları için bkz. OIDC SSO uygulamak üzere bir ASM güvenlik ilkesi yapılandırın.
JSON Web Token (JWT) kimlik doğrulama
JSON Web Token'lar (JWT) kullanıcı kimliğini doğrulamak için yaygın olarak kullanılır. ASM, iş yüklerine erişim sağlayan belirli istekler için JWT kimlik doğrulamasını etkinleştirir.
Kurulum talimatları için bkz. JWT kimlik doğrulama uygulamak üzere bir ASM güvenlik ilkesi yapılandırın.
Yetkilendirme
Yetkilendirme ilkeleri kimlik doğrulandıktan sonra hangi isteklere izin verileceğini veya reddedileceğini denetler. ASM iki yetkilendirme ilkesi sunar:
İzin ve engelleme listesi erişim kontrolü
Engelleme ve izin listeleri uygulamalara erişim sağlayan belirli istekleri reddetmenize veya kabul etmenize olanak tanır. ASM güvenlik ilkeleri her iki liste türü için de erişim kontrolünü destekler:
Doğu-batı trafiği -- ağ içindeki hizmetten hizmete iletişim.
Kuzey-güney trafiği -- giriş veya çıkış ağ geçidi üzerinden ağa giren veya ağdan çıkan istekler.
Kurulum talimatları için bkz. İzin/engelleme listesi erişim kontrolü uygulamak üzere bir ASM güvenlik ilkesi yapılandırın.
Özel yetkilendirme
Yerleşik ilkelerin ötesine geçen yetkilendirme mantığı için ASM gelen istekleri belirttiğiniz özel bir yetkilendirme hizmetine iletir. Özel yetkilendirme hizmeti istekleri değerlendirir ve izin verme veya reddetme kararı döndürür. Bu yaklaşım şunları yapmanıza olanak tanır:
İş gereksinimlerinize uygun yetkilendirme mantığı uygulayın.
Geliştirme ve bakım maliyetlerini azaltmak ve geliştirme verimliliğini artırmak için yetkilendirme kararlarını merkezileştirin.
Kurulum talimatları için bkz. Özel yetkilendirme uygulamak üzere bir ASM güvenlik ilkesi yapılandırın.
Güvenlik ilkesi hızlı başvuru kılavuzu
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|