ASM 1.21及以下版本

使用Kubernetes Gateway API，可以為bookinfo-productpage服務(wù)賬戶部署Waypoint代理，該代理用于productpage服務(wù)。任何流向productpage服務(wù)的流量都將由該7層代理路由。

1. 執(zhí)行以下命令，為bookinfo-productpage服務(wù)賬戶部署Waypoint代理。

   istioctl x waypoint apply --service-account bookinfo-productpage

2. 執(zhí)行以下命令，查看productpage的Waypoint代理狀態(tài)。

   kubectl get gtw bookinfo-productpage -o yaml

   展開查看預(yù)期輸出

   apiVersion: gateway.networking.k8s.io/v1beta1
   kind: Gateway
   metadata:
     annotations:
       gateway.istio.io/controller-version: "5"
       istio.io/for-service-account: bookinfo-productpage
     creationTimestamp: "2023-08-10T08:35:51Z"
     generation: 1
     name: bookinfo-productpage
     namespace: default
     resourceVersion: "7828921"
     uid: c085b788-a8fa-4a2c-8376-18d08689****
   spec:
     gatewayClassName: istio-waypoint
     listeners:
     - allowedRoutes:
         namespaces:
           from: Same
       name: mesh
       port: 15008
       protocol: HBONE
   status:
     conditions:
     - lastTransitionTime: "2023-08-10T08:35:51Z"
       message: Handled by Istio controller
       observedGeneration: 1
       reason: Accepted
       status: "True"
       type: Accepted

3. 修改AuthorizationPolicy。

   1. 將productpage-viewer.yaml文件修改為如下內(nèi)容，明確允許sleep和網(wǎng)關(guān)服務(wù)賬戶通過GET方式訪問productpage服務(wù)，但不允許執(zhí)行其他操作。

      apiVersion: security.istio.io/v1beta1
      kind: AuthorizationPolicy
      metadata:
       name: productpage-viewer
       namespace: default
      spec:
       selector:
         matchLabels:
           istio.io/gateway-name: bookinfo-productpage
       action: ALLOW
       rules:
       - from:
         - source:
             principals:
             - cluster.local/ns/default/sa/sleep
             - cluster.local/ns/istio-system/sa/istio-ingressgateway
         to:
         - operation:
             methods: ["GET"]

   2. 執(zhí)行以下命令，重新部署AuthorizationPolicy。

      kubectl apply -f productpage-viewer.yaml

4. 驗(yàn)證授權(quán)策略是否生效。

   1. 執(zhí)行以下命令：

      kubectl exec deploy/sleep -- curl -s "http://$GATEWAY_HOST/productpage" -X DELETE

      預(yù)期輸出：

       RBAC: access denied                                                                                                       

   2. 執(zhí)行以下命令：

      kubectl exec deploy/notsleep -- curl -s http://productpage:9080/

      預(yù)期輸出：

        RBAC: access denied

   3. 執(zhí)行以下命令：

      kubectl exec deploy/sleep -- curl -s http://productpage:9080/ | grep -o "<title>.*</title>"

      預(yù)期輸出：

       <title>Simple Bookstore App</title>

      以上結(jié)果表明授權(quán)策略生效。

ASM 1.22及以上版本

要在Ambient模式下使用L7能力，首先需要為指定服務(wù)或工作負(fù)載啟用Waypoint代理。

如何為指定服務(wù)或工作負(fù)載啟用Waypoint代理？

為了支持更加靈活的在不同范圍內(nèi)啟用Waypoint，1.22使用了新的配置Waypoint的方法。配置主要分為兩部分：

1. 首先您需要創(chuàng)建一個Waypoint代理，在Waypoint上通過label指定要生效的流量。

   apiVersion: gateway.networking.k8s.io/v1
   kind: Gateway
   metadata:
     labels:
       istio.io/waypoint-for: service
     name: waypoint
     namespace: default
   spec:
     gatewayClassName: istio-waypoint
     listeners:
     - name: mesh
       port: 15008
       protocol: HBONE

   1. 這個Gateway資源的gatewayClassName字段為istio-waypoint，聲明創(chuàng)建的是Waypoint。

   2. 它帶有一個特殊的labelistio.io/waypoint-for: service，表明這個Waypoint專為Service的流量服務(wù)。除了service之外，還支持配置：workload（專用于Pod）以及all（Service和Workload）。

2. 指定哪些流量要被Waypoint代理。需要在Service、Namespace或者Pod上加上istio.io/use-waypoint這個label，label的值是要使用的Waypoint代理名稱。

   apiVersion: v1
   kind: Service
   metadata:
     labels:
       app: httpbin
       service: httpbin
       istio.io/use-waypoint: waypoint
     name: httpbin
     namespace: default
   spec:
     ports:
     - name: http
       port: 8000
       protocol: TCP
       targetPort: 80
     selector:
       app: httpbin
     type: ClusterIP

演示

接下來，繼續(xù)在本文的環(huán)境下演示如何使用L7授權(quán)策略。

1. 使用ACK kubeconfig，將以下Waypoint代理的內(nèi)容部署到default命名空間。

   apiVersion: gateway.networking.k8s.io/v1
   kind: Gateway
   metadata:
     labels:
       istio.io/waypoint-for: service
     name: waypoint
     namespace: default
   spec:
     gatewayClassName: istio-waypoint
     listeners:
     - name: mesh
       port: 15008
       protocol: HBONE

2. 使用ACK集群kubeconfig執(zhí)行以下命令，為productpage對應(yīng)的Service添加label，讓對應(yīng)流量被waypoint代理。

   kubectl label service productpage istio.io/use-waypoint=waypoint

3. 使用以下內(nèi)容更新AuthorizationPolicy。

   apiVersion: security.istio.io/v1beta1
   kind: AuthorizationPolicy
   metadata:
     name: productpage-viewer
     namespace: default
   spec:
     targetRefs:
     - kind: Service
       group: ""
       name: productpage
     action: ALLOW
     rules:
     - from:
       - source:
           principals:
           - cluster.local/ns/default/sa/sleep
       to:
       - operation:
           methods: ["GET"]

   明確指出只允許slepp使用GET訪問productpage服務(wù)，其余請求都將被拒絕。

   說明

   如果直接apply上述授權(quán)策略失敗，請刪除原有授權(quán)策略后重新apply。

4. 驗(yàn)證授權(quán)策略是否生效

   1. 使用ACK kubeconfig，執(zhí)行以下命令使用GET方法訪問productpage服務(wù)。

      kubectl exec deploy/sleep -- curl -s http://productpage:9080/ | grep -o "<title>.*</title>"

      預(yù)期輸出：

      <title>Simple Bookstore App</title>

   2. 執(zhí)行以下命令，使用DELETE方法訪問productpage服務(wù)。

      kubectl exec deploy/sleep -- curl -XDELETE -s http://productpage:9080/

      預(yù)期輸出：

      RBAC: access denied

   3. 執(zhí)行以下命令，使用GET方法訪問productpage服務(wù)。

      kubectl exec deploy/notsleep -- curl -s http://productpage:9080/

      預(yù)期輸出：

      RBAC: access denied

   以上結(jié)果表明授權(quán)策略生效。