對等身份認證
更新時間 2024-09-09 19:40:24
最近更新時間: 2024-09-09 19:40:24
分享文章
本章節介紹對等身份認證
概述
對等身份認證（PeerAuthentication）策略定義了sidecar之間通信的TLS模式，當前支持三種模式：
- PERMISSIVE：寬松模式，該模式下，sidecar將接受明文和雙向TLS加密通信。
- STRICT：嚴格模式，該模式下，sidecar只接受雙向TLS加密通信。
- DISABLE：禁用雙向TLS；一般情況下不應該使用該模式。
如下PeerAuthentication策略定義了訪問foo命名空間下的服務都必須采用雙向TLS認證模式：
apiVersion: security.istio.io/v1beta1
kind: PeerAuthentication
metadata:
name: default
namespace: foo
spec:
mtls:
mode: STRICT
創建對等身份認證
- 從控制臺選擇菜單 網格安全中心 -> 對等身份認證。
- 選擇命名空間，默認展示當前命名空間下的對等身份認證策略，選擇左上角 創建對等身份認證。
- 根據模板編輯，保存即可。
修改對等身份認證
- 從控制臺選擇菜單 網格安全中心 -> 對等身份認證。
- 選擇命名空間，默認展示當前命名空間下的對等身份認證策略，選擇操作欄的編輯功能。
- 編輯保存即可。
刪除對等身份認證
- 從服務網格控制臺選擇菜單 網格安全中心 -> 對等身份認證。
- 選擇命名空間，默認展示當前命名空間下的對等身份認證策略，選擇操作欄的刪除功能刪除指定的策略配置。
PeerAuthentication配置說明：
| 字段 | 類型 | 必選 | 說明 |
|---|---|---|---|
| selector | WorkloadSelector | No | 工作負載選擇器，根據標簽選擇策略生效的工作負載。 |
| mtls | MutualTLS | No | Mtsl配置，MutualTLS.mode可選值： 1，UNSET：未定義，默認繼承父層級配置（命名空間級或者全局），如果父層級不存在則默認為PERMISSIVE。 2，DISABLE：禁用mTLS認證，采用明文傳輸。 3，PERMISSIVE：同時支持mTLS和明文。 4，STRICT：只支持mTLS模式。 |
| portLevelMtls | map<uint32, MutualTLS> | No | 端口級對等身份認證策略。 |
