Cloud Service Mesh 範例：mTLS

存取 Online Boutique

1. 將 kubectl 的目前內容設為部署 Online Boutique 的叢集：

   gcloud container clusters get-credentials CLUSTER_NAME  \
       --project=PROJECT_ID \
       --zone=CLUSTER_LOCATION 
   

2. 列出 frontend 命名空間中的服務：

   kubectl get services -n frontend
   

   請注意，frontend-external 是 LoadBalancer，而且具有外部 IP 位址。範例應用程式包含負載平衡器服務，因此可部署在 GKE 上，不必使用 Cloud Service Mesh。

3. 在瀏覽器中，使用frontend-external服務的外部 IP 位址造訪應用程式：

   http://FRONTEND_EXTERNAL_IP/
   

4. Cloud Service Mesh 可讓您部署 Ingress 閘道。您也可以使用 Ingress 閘道的外部 IP 位址存取 Online Boutique。取得閘道的外部 IP。將預留位置替換為下列資訊：

   • GATEWAY_SERVICE_NAME：Ingress 閘道服務的名稱。如果您部署範例閘道時未進行修改，或是部署預設 Ingress 閘道，名稱為 istio-ingressgateway。
   • GATEWAY_NAMESPACE：部署 Ingress 閘道的命名空間。如果您部署的是預設輸入閘道，命名空間為 istio-system。

   kubectl get service GATEWAY_NAME -n GATEWAY_NAMESPACE
   

5. 在瀏覽器中開啟另一個分頁，然後使用 Ingress 閘道的外部 IP 位址造訪應用程式：

   http://INGRESS_GATEWAY_EXTERNAL_IP/
   

6. 執行下列指令，從另一個 Pod curl frontend 服務 (使用純 HTTP)。由於服務位於不同命名空間，因此您需要使用 frontend 服務的 DNS 名稱執行 curl。

   kubectl debug --image istio/base --target istio-proxy -it \
     $(kubectl get pod -l app=productcatalogservice -n product-catalog -o jsonpath={.items..metadata.name}) \
     -n product-catalog -- \
     curl http://frontend.frontend.svc.cluster.local:80/ -o /dev/null -s -w '%{http_code}\n'
   

   您的要求會成功，狀態為 200，因為系統預設會接受 TLS 和純文字流量。

為每個命名空間啟用相互 TLS

如要強制執行 mTLS，請套用含有 kubectl 的 PeerAuthentication 政策。

1. 將下列驗證政策儲存為 mtls-namespace.yaml。

   cat <<EOF > mtls-namespace.yaml
   apiVersion: "security.istio.io/v1beta1"
   kind: "PeerAuthentication"
   metadata:
     name: "namespace-policy"
   spec:
     mtls:
       mode: STRICT
   EOF
   

   YAML 中的 mode: STRICT 行會將服務設為只接受 mTLS。根據預設，mode 為 PERMISSIVE，這會將服務設定為接受純文字和 mTLS。

2. 套用驗證政策，將所有 Online Boutique 服務設為只接受 mTLS：

   for ns in ad cart checkout currency email frontend loadgenerator \
        payment product-catalog recommendation shipping; do
   kubectl apply -n $ns -f mtls-namespace.yaml
   done
   

   預期輸出內容：

   peerauthentication.security.istio.io/namespace-policy created
   peerauthentication.security.istio.io/namespace-policy created
   peerauthentication.security.istio.io/namespace-policy created
   peerauthentication.security.istio.io/namespace-policy created
   peerauthentication.security.istio.io/namespace-policy created
   peerauthentication.security.istio.io/namespace-policy created
   peerauthentication.security.istio.io/namespace-policy created
   peerauthentication.security.istio.io/namespace-policy created
   peerauthentication.security.istio.io/namespace-policy created
   peerauthentication.security.istio.io/namespace-policy created
   peerauthentication.security.istio.io/namespace-policy created

3. 在瀏覽器中前往使用 frontend-external 服務外部 IP 位址存取 Online Boutique 的分頁：

   http://FRONTEND_EXTERNAL_IP/
   

4. 重新整理頁面。瀏覽器會顯示下列錯誤：

   

   重新整理頁面會導致系統將純文字傳送至 frontend 服務。 由於STRICT驗證政策，Sidecar Proxy 會封鎖對服務的要求。

5. 前往瀏覽器中透過 istio-ingressgateway 外部 IP 位址存取 Online Boutique 的分頁，然後重新整理頁面，應會顯示成功。使用 Ingress 閘道存取 Online Boutique 時，要求會經過下列路徑：

   

   mTLS 驗證流程：

   1. 瀏覽器會將純文字 HTTP 要求傳送至伺服器。
   2. Ingress 閘道 Proxy 容器會攔截要求。
   3. Ingress 閘道 Proxy 會與伺服器端 Proxy (本例中的前端服務) 執行 TLS 握手。這項握手程序包括交換憑證。Cloud Service Mesh 會將這些憑證預先載入 Proxy 容器。
   4. Ingress 閘道 Proxy 會對伺服器憑證執行安全命名檢查，確認伺服器是由授權身分執行。
   5. 連入閘道和伺服器 Proxy 會建立相互 TLS 連線，而伺服器 Proxy 會將要求轉送至伺服器應用程式容器 (前端服務)。

6. 執行下列指令，從另一個 Pod curl frontend 服務 (使用純 HTTP)。

   kubectl exec testcurl -n default -- curl \
     http://frontend.frontend.svc.cluster.local:80/ -o /dev/null -s -w '%{http_code}\n'
   

   由於我們從沒有 Sidecar 的工作負載傳送純文字流量，且套用了 STRICT peerAuthentication 政策，因此您的要求失敗。

尋找及刪除驗證政策

1. 如要查看服務網格中的所有 PeerAuthentication 政策，請執行下列指令：

   kubectl get peerauthentication --all-namespaces
   

   輸出結果會與下列內容相似：

   NAMESPACE         NAME               MODE     AGE
   ad                namespace-policy   STRICT   17m
   cart              namespace-policy   STRICT   17m
   checkout          namespace-policy   STRICT   17m
   currency          namespace-policy   STRICT   17m
   email             namespace-policy   STRICT   17m
   frontend          namespace-policy   STRICT   17m
   loadgenerator     namespace-policy   STRICT   17m
   payment           namespace-policy   STRICT   17m
   product-catalog   namespace-policy   STRICT   17m
   recommendation    namespace-policy   STRICT   17m
   shipping          namespace-policy   STRICT   17m
   

2. 從所有 Online Boutique 命名空間中刪除驗證政策：

   for ns in ad cart checkout currency email frontend loadgenerator payment \
     product-catalog recommendation shipping; do
       kubectl delete peerauthentication -n $ns namespace-policy
   done;
   

   預期輸出內容：

   peerauthentication.security.istio.io "namespace-policy" deleted
   peerauthentication.security.istio.io "namespace-policy" deleted
   peerauthentication.security.istio.io "namespace-policy" deleted
   peerauthentication.security.istio.io "namespace-policy" deleted
   peerauthentication.security.istio.io "namespace-policy" deleted
   peerauthentication.security.istio.io "namespace-policy" deleted
   peerauthentication.security.istio.io "namespace-policy" deleted
   peerauthentication.security.istio.io "namespace-policy" deleted
   peerauthentication.security.istio.io "namespace-policy" deleted
   peerauthentication.security.istio.io "namespace-policy" deleted
   peerauthentication.security.istio.io "namespace-policy" deleted
   

3. 使用 frontend-external 服務的外部 IP 位址存取 Online Boutique，然後重新整理頁面。頁面會如預期顯示。

4. 執行下列指令，從另一個 Pod curl frontend 服務 (使用純 HTTP)。

   kubectl debug --image istio/base --target istio-proxy -it \
     $(kubectl get pod -l app=productcatalogservice -n product-catalog -o jsonpath={.items..metadata.name}) \
     -n product-catalog -- \
     curl http://frontend.frontend.svc.cluster.local:80/ -o /dev/null -s -w '%{http_code}\n'
   

   您的要求會成功，狀態為 200，因為系統預設會接受 TLS 和純文字流量。

在 Google Cloud 控制台中重新整理顯示「工作負載」清單的頁面，現在會顯示 mTLS 狀態為 Permissive。

為每個工作負載啟用雙向 TLS

如要為特定工作負載設定 PeerAuthentication 政策，您必須設定 selector 區段，並指定與所需工作負載相符的標籤。不過，Cloud Service Mesh 無法彙整工作負載層級的政策，以供服務的外送 mTLS 流量使用。您需要設定目的地規則來管理這項行為。

1. 將驗證政策套用至特定工作負載。請注意，下列政策如何使用標籤和選取器，指定特定frontend部署作業。

   cat <<EOF | kubectl apply -n frontend -f -
   apiVersion: "security.istio.io/v1beta1"
   kind: "PeerAuthentication"
   metadata:
     name: "frontend"
     namespace: "frontend"
   spec:
     selector:
       matchLabels:
         app: frontend
     mtls:
       mode: STRICT
   EOF
   

   預期輸出內容：

   peerauthentication.security.istio.io/frontend created

2. 設定相符目的地規則。

   cat <<EOF | kubectl apply -n frontend -f -
   apiVersion: "networking.istio.io/v1alpha3"
   kind: "DestinationRule"
   metadata:
     name: "frontend"
   spec:
     host: "frontend.demo.svc.cluster.local"
     trafficPolicy:
       tls:
         mode: ISTIO_MUTUAL
   EOF
   

   預期輸出內容：

   destinationrule.networking.istio.io/frontend created

3. 使用 frontend-external 服務的外部 IP 位址存取 Online Boutique，然後重新整理頁面。由於 frontend service 設為 STRICT mTLS，且 Sidecar Proxy 封鎖要求，因此網頁不會顯示。

4. 執行下列指令，從另一個 Pod curl frontend 服務 (使用純 HTTP)。

   kubectl exec testcurl -n default -- curl \
     http://frontend.frontend.svc.cluster.local:80/ -o /dev/null -s -w '%{http_code}\n'
   

   由於我們從沒有 Sidecar 的工作負載傳送純文字流量，且套用了 STRICT peerAuthentication 政策，因此您的要求失敗。

5. 刪除驗證政策：

   kubectl delete peerauthentication -n frontend frontend
   

   預期輸出內容：

   peerauthentication.security.istio.io "frontend" deleted
   

6. 刪除目的地規則：

   kubectl delete destinationrule -n frontend frontend
   

   預期輸出內容：

   destinationrule.networking.istio.io "frontend" deleted
   

強制執行網格範圍的 mTLS

如要防止網格中的所有服務接受純文字流量，請設定網格範圍的 PeerAuthentication 政策，並將 mTLS 模式設為 STRICT。網格範圍的 PeerAuthentication 政策不應有選取器，且必須套用至根命名空間 istio-system。部署政策後，控制層會自動佈建 TLS 憑證，讓工作負載彼此驗證。

1. 強制執行網格範圍的 mTLS：

   kubectl apply -f - <<EOF
   apiVersion: "security.istio.io/v1beta1"
   kind: "PeerAuthentication"
   metadata:
     name: "mesh-wide"
     namespace: "istio-system"
   spec:
     mtls:
       mode: STRICT
   EOF
   

   預期輸出內容：

   peerauthentication.security.istio.io/mesh-wide created

2. 使用 frontend-external 服務的外部 IP 位址存取 Online Boutique，然後重新整理頁面。網頁不會顯示。

3. 執行下列指令，從另一個 Pod curl frontend 服務 (使用純 HTTP)。

   kubectl exec testcurl -n default -- curl \
     http://frontend.frontend.svc.cluster.local:80/ -o /dev/null -s -w '%{http_code}\n'
   

   由於我們從沒有 Sidecar 的工作負載傳送純文字流量，且套用了 STRICT peerAuthentication 政策，因此您的要求失敗。

4. 刪除 mesh-wide 政策：

   kubectl delete peerauthentication -n istio-system mesh-wide
   

   預期輸出內容：

   peerauthentication.security.istio.io "mesh-wide" deleted