Cloud Service Mesh 範例：mTLS

存取線上精品店

1. 將 kubectl 的目前背景資訊設為部署 Online Boutique 的叢集：

   gcloud container clusters get-credentials CLUSTER_NAME  \
       --project=PROJECT_ID \
       --zone=CLUSTER_LOCATION 
   

2. 列出 frontend 命名空間中的服務：

   kubectl get services -n frontend
   

   請注意，frontend-external 是 LoadBalancer，且具有外部 IP 位址。範例應用程式包含負載平衡器服務，因此可在沒有 Cloud Service Mesh 的情況下部署在 GKE 上。

3. 使用 frontend-external 服務的外部 IP 位址，在瀏覽器中造訪應用程式：

   http://FRONTEND_EXTERNAL_IP/
   

4. Cloud Service Mesh 可讓您部署入口網關。您也可以使用入口網關的外部 IP 位址存取線上精品店。取得閘道的外部 IP。將預留位置替換為下列資訊：

   • GATEWAY_SERVICE_NAME：Ingress Gateway 服務的名稱。如果您部署的是未經修改的範例閘道，或是部署了預設入口閘道，名稱會是 istio-ingressgateway。
   • GATEWAY_NAMESPACE：部署入口網站閘道的命名空間。如果您部署了預設輸入閘道，命名空間就是 istio-system。

   kubectl get service GATEWAY_NAME -n GATEWAY_NAMESPACE
   

5. 在瀏覽器中開啟另一個分頁，然後使用入口網關的外部 IP 位址造訪應用程式：

   http://INGRESS_GATEWAY_EXTERNAL_IP/
   

6. 執行下列指令，透過另一個 Pod 使用純 HTTP curl frontend 服務。由於這些服務位於不同的命名空間，因此您需要捲曲 frontend 服務的 DNS 名稱。

   kubectl debug --image istio/base --target istio-proxy -it \
     $(kubectl get pod -l app=productcatalogservice -n product-catalog -o jsonpath={.items..metadata.name}) \
     -n product-catalog -- \
     curl http://frontend.frontend.svc.cluster.local:80/ -o /dev/null -s -w '%{http_code}\n'
   

   根據預設，系統會同時接受 TLS 和純文字流量，因此要求會成功並顯示狀態 200。

為每個命名空間啟用 mTLS

您可以透過 kubectl 套用 PeerAuthentication 政策來強制執行 mTLS。

1. 將下列驗證政策儲存為 mtls-namespace.yaml。

   cat <<EOF > mtls-namespace.yaml
   apiVersion: "security.istio.io/v1beta1"
   kind: "PeerAuthentication"
   metadata:
     name: "namespace-policy"
   spec:
     mtls:
       mode: STRICT
   EOF
   

   YAML 中的 mode: STRICT 行會將服務設為只接受 mTLS。根據預設，mode 為 PERMISSIVE，可將服務設為同時接受純文字和 mTLS。

2. 套用驗證政策，將所有線上精品店服務設為只接受 mTLS：

   for ns in ad cart checkout currency email frontend loadgenerator \
        payment product-catalog recommendation shipping; do
   kubectl apply -n $ns -f mtls-namespace.yaml
   done
   

   預期的輸出內容：

   peerauthentication.security.istio.io/namespace-policy created
   peerauthentication.security.istio.io/namespace-policy created
   peerauthentication.security.istio.io/namespace-policy created
   peerauthentication.security.istio.io/namespace-policy created
   peerauthentication.security.istio.io/namespace-policy created
   peerauthentication.security.istio.io/namespace-policy created
   peerauthentication.security.istio.io/namespace-policy created
   peerauthentication.security.istio.io/namespace-policy created
   peerauthentication.security.istio.io/namespace-policy created
   peerauthentication.security.istio.io/namespace-policy created
   peerauthentication.security.istio.io/namespace-policy created

3. 在瀏覽器中前往使用 frontend-external 服務外部 IP 位址存取線上精品店的分頁：

   http://FRONTEND_EXTERNAL_IP/
   

4. 重新整理頁面。瀏覽器會顯示以下錯誤：

   

   重新整理頁面會導致純文字傳送至 frontend 服務。由於 STRICT 驗證政策，側邊 Proxy 會封鎖對服務的要求。

5. 在瀏覽器中前往使用 istio-ingressgateway 外部 IP 位址存取網路商店的分頁，然後重新整理頁面，即可成功顯示。使用入口網頁閘道存取線上精品店時，要求會沿著下列路徑傳送：

   

   mTLS 驗證流程：

   1. 瀏覽器會將純文字 HTTP 要求傳送至伺服器。
   2. 入口閘道 Proxy 容器會攔截要求。
   3. 網頁閘道 Proxy 會與伺服器端 Proxy (本例中的前端服務) 執行 TLS 握手。這項握手程序包括憑證交換。這些憑證會由 Cloud Service Mesh 預先載入至 Proxy 容器。
   4. 入口閘道 Proxy 會對伺服器的憑證執行安全命名檢查，驗證伺服器是否由授權身分執行。
   5. 入口網頁閘道和伺服器 Proxy 會建立 TLS 雙向連線，而伺服器 Proxy 會將要求轉送至伺服器應用程式容器 (前端服務)。

6. 執行下列指令，使用另一個 Pod 中的純 HTTP frontend 服務curl。

   kubectl exec testcurl -n default -- curl \
     http://frontend.frontend.svc.cluster.local:80/ -o /dev/null -s -w '%{http_code}\n'
   

   由於我們會從已套用嚴格 peerAuthentication 政策的無側載工作負載傳送純文字流量，因此您的要求會失敗。

尋找及刪除驗證政策

1. 如需服務中介網中的所有 PeerAuthentication 政策清單，請參閱：

   kubectl get peerauthentication --all-namespaces
   

   輸出結果會與下列內容相似：

   NAMESPACE         NAME               MODE     AGE
   ad                namespace-policy   STRICT   17m
   cart              namespace-policy   STRICT   17m
   checkout          namespace-policy   STRICT   17m
   currency          namespace-policy   STRICT   17m
   email             namespace-policy   STRICT   17m
   frontend          namespace-policy   STRICT   17m
   loadgenerator     namespace-policy   STRICT   17m
   payment           namespace-policy   STRICT   17m
   product-catalog   namespace-policy   STRICT   17m
   recommendation    namespace-policy   STRICT   17m
   shipping          namespace-policy   STRICT   17m
   

2. 從所有線上精品店命名空間中刪除驗證政策：

   for ns in ad cart checkout currency email frontend loadgenerator payment \
     product-catalog recommendation shipping; do
       kubectl delete peerauthentication -n $ns namespace-policy
   done;
   

   預期輸出內容：

   peerauthentication.security.istio.io "namespace-policy" deleted
   peerauthentication.security.istio.io "namespace-policy" deleted
   peerauthentication.security.istio.io "namespace-policy" deleted
   peerauthentication.security.istio.io "namespace-policy" deleted
   peerauthentication.security.istio.io "namespace-policy" deleted
   peerauthentication.security.istio.io "namespace-policy" deleted
   peerauthentication.security.istio.io "namespace-policy" deleted
   peerauthentication.security.istio.io "namespace-policy" deleted
   peerauthentication.security.istio.io "namespace-policy" deleted
   peerauthentication.security.istio.io "namespace-policy" deleted
   peerauthentication.security.istio.io "namespace-policy" deleted
   

3. 使用 frontend-external 服務的外部 IP 位址存取線上精品店，然後重新整理頁面。頁面會如預期顯示。

4. 執行下列指令，使用另一個 Pod 中的純 HTTP frontend 服務curl。

   kubectl debug --image istio/base --target istio-proxy -it \
     $(kubectl get pod -l app=productcatalogservice -n product-catalog -o jsonpath={.items..metadata.name}) \
     -n product-catalog -- \
     curl http://frontend.frontend.svc.cluster.local:80/ -o /dev/null -s -w '%{http_code}\n'
   

   根據預設，系統會同時接受 TLS 和純文字流量，因此要求會成功並顯示狀態 200。

如果您在顯示工作負載清單的 Google Cloud 控制台中重新整理頁面，現在會顯示 mTLS 狀態為 Permissive。

為每個工作負載啟用 mTLS

如要為特定工作負載設定 PeerAuthentication 政策，您必須設定 selector 部分，並指定符合所需工作負載的標籤。不過，Cloud Service Mesh 無法針對服務的傳出 mTLS 流量，匯總工作負載層級政策。您需要設定目標規則來管理這項行為。

1. 將驗證政策套用至特定工作負載。請注意，下列政策如何使用標籤和選取器指定特定 frontend 部署作業。

   cat <<EOF | kubectl apply -n frontend -f -
   apiVersion: "security.istio.io/v1beta1"
   kind: "PeerAuthentication"
   metadata:
     name: "frontend"
     namespace: "frontend"
   spec:
     selector:
       matchLabels:
         app: frontend
     mtls:
       mode: STRICT
   EOF
   

   預期輸出內容：

   peerauthentication.security.istio.io/frontend created

2. 設定比對目的地規則。

   cat <<EOF | kubectl apply -n frontend -f -
   apiVersion: "networking.istio.io/v1alpha3"
   kind: "DestinationRule"
   metadata:
     name: "frontend"
   spec:
     host: "frontend.demo.svc.cluster.local"
     trafficPolicy:
       tls:
         mode: ISTIO_MUTUAL
   EOF
   

   預期輸出內容：

   destinationrule.networking.istio.io/frontend created

3. 使用 frontend-external 服務的外部 IP 位址存取線上精品店，然後重新整理頁面。由於 frontend service 已設為 STRICT mTLS，而側載代理程式會封鎖要求，因此頁面不會顯示。

4. 執行下列指令，使用另一個 Pod 中的純 HTTP frontend 服務curl。

   kubectl exec testcurl -n default -- curl \
     http://frontend.frontend.svc.cluster.local:80/ -o /dev/null -s -w '%{http_code}\n'
   

   由於我們會從已套用嚴格 peerAuthentication 政策的無側載工作負載傳送純文字流量，因此您的要求會失敗。

5. 刪除驗證政策：

   kubectl delete peerauthentication -n frontend frontend
   

   預期輸出內容：

   peerauthentication.security.istio.io "frontend" deleted
   

6. 刪除目的地規則：

   kubectl delete destinationrule -n frontend frontend
   

   預期輸出內容：

   destinationrule.networking.istio.io "frontend" deleted
   

強制執行網格範圍的 mTLS

如要防止網格中的所有服務接受純文字流量，請設定網格層級的 PeerAuthentication 政策，並將 mTLS 模式設為 STRICT。網格層級 PeerAuthentication 政策不應包含選取器，且必須套用至根命名空間 istio-system。部署政策時，控制平面會自動佈建 TLS 憑證，讓工作負載彼此驗證。

1. 強制執行網格全域 mTLS：

   kubectl apply -f - <<EOF
   apiVersion: "security.istio.io/v1beta1"
   kind: "PeerAuthentication"
   metadata:
     name: "mesh-wide"
     namespace: "istio-system"
   spec:
     mtls:
       mode: STRICT
   EOF
   

   預期的輸出內容：

   peerauthentication.security.istio.io/mesh-wide created

2. 使用 frontend-external 服務的外部 IP 位址存取線上精品店，然後重新整理頁面。網頁未顯示。

3. 執行下列指令，使用另一個 Pod 中的純 HTTP frontend 服務curl。

   kubectl exec testcurl -n default -- curl \
     http://frontend.frontend.svc.cluster.local:80/ -o /dev/null -s -w '%{http_code}\n'
   

   由於我們會從已套用嚴格 peerAuthentication 政策的無側載工作負載傳送純文字流量，因此您的要求會失敗。

4. 刪除 mesh-wide 政策：

   kubectl delete peerauthentication -n istio-system mesh-wide
   

   預期輸出內容：

   peerauthentication.security.istio.io "mesh-wide" deleted