为tls和MTLS配置istio

Question

我有一个Kubernetes应用程序，我正在设置istio sidecar。是否可以使用简单的TLS为API的子集和其他API配置istio MTLS？

Answer 1

正如我在评论中提到的，您应该能够使用destination rules实现这一点，因为您可以使用tls settings mode来更改特定主机的mtls。

下面是来自documentation的示例

例如，以下规则将客户端配置为使用mutual

连接到上游数据库群集。

apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
  name: db-mtls
spec:
  host: mydbserver.prod.svc.cluster.local
  trafficPolicy:
    tls:
      mode: MUTUAL
      clientCertificate: /etc/certs/myclientcert.pem
      privateKey: /etc/certs/client_private_key.pem
      caCertificates: /etc/certs/rootcacerts.pem

以下规则将客户端配置为在与其域与*.foo.com匹配的外部服务通信时使用

。

v1alpha3v1beta1
apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
  name: tls-foo
spec:
  host: "*.foo.com"
  trafficPolicy:
    tls:
      mode: SIMPLE

以下规则将客户端配置为在与评级服务对话时使用Istio mutual TLS。

v1alpha3v1beta1
apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
  name: ratings-istio-mtls
spec:
  host: ratings.prod.svc.cluster.local
  trafficPolicy:
    tls:
      mode: ISTIO_MUTUAL