在Istio/K8中如何设置自定义认证和授权

39次阅读

问题描述

作为一个初次接触Istio的人，我在理解这项技术的认证系统工作方式时遇到了困难。假设我有一个包含8个Pod（服务）的项目。我理解在Istio Gateway中通过JWT来覆盖认证和授权。这样每个请求都会得到验证。但是不同角色的用户（例如：教师、学生、员工）需要一个带有用户名和密码的注册/登录/注销端点。是否有一种方式可以使Istio Gateway处理用户创建并将其保存到数据库中，并生成JWT？还是我必须创建另一个专用于认证的Pod（服务），并从该Pod生成JWT？如果是这样，我如何仍然能够从网关开始设置JWT验证？
感谢您花时间阅读这个问题）

解决方案

请注意以下操作注意版本差异及修改前做好备份。
在Istio和Kubernetes环境中设置自定义的认证和授权需要一些策略和步骤。在下面的解决方案中，我们将探讨如何实现用户的注册、登录和JWT生成，以及如何在Istio Gateway中进行JWT验证。

用户管理与JWT生成

用户创建和保存： 首先，你需要创建一个专门的服务（Pod）来处理用户的注册和登录。这个服务可以与数据库进行交互，执行CRUD操作来管理用户信息。
JWT生成： 在用户成功注册或登录后，你的用户管理服务可以生成JWT（JSON Web Token）。JWT应该包含用户的角色和其他必要的声明信息。

Istio Gateway中的JWT验证

设置RequestAuthentication： 使用Istio的RequestAuthentication资源来配置JWT验证。你可以为不同的路径或服务配置不同的JWT验证策略。配置中，你可以指定JWT验证所需的认证提供者（issuer）和JWT令牌在请求中的位置。
设置AuthorizationPolicy： 使用AuthorizationPolicy资源来设置授权策略。在这里，你可以定义哪些角色或声明有权访问特定的路径或服务。与JWT的声明信息进行匹配，以确保只有拥有适当权限的用户才能访问。

示例配置

以下是一个简化的示例配置，假设你已经有一个处理用户管理和JWT生成的服务，并且你正在使用Istio Gateway来管理流量：

apiVersion: security.istio.io/v1beta1
kind: RequestAuthentication
metadata:
  name: jwt-example
spec:
  selector:
    matchLabels:
      app: istio-gateway
  jwtRules:
    - issuer: "your-issuer"  # JWT提供者
      jwksUri: "https://your-jwks-uri"  # 存储公钥的URI
      fromHeaders:
        - name: Authorization  # JWT令牌位置

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: auth-policy-example
spec:
  selector:
    matchLabels:
      app: istio-gateway
  rules:
    - from:
        - source:
            requestPrincipals: ["*"]  # 所有用户
      to:
        - operation:
            paths: ["/secured-path"]  # 受保护的路径
      when:
        - key: request.auth.claims[role]  # 用户角色
          values: ["teacher"]  # 允许的角色

请注意，这只是一个简化的示例配置，实际的配置会更加复杂，涉及到证书、角色声明等更多细节。