将 IAP 与 Anthos Service Mesh 集成

本指南介绍如何将 Identity-Aware Proxy (IAP) 与 Anthos Service Mesh 集成。借助 IAP 与 Anthos Service Mesh 的集成，您可以基于 Google 的 BeyondCorp 原则安全地访问服务。IAP 会验证用户身份和请求的上下文，以确定是否应允许用户访问应用或资源。IAP 与 Anthos Service Mesh 的集成可为您提供以下优势：

• 对在 Anthos Service Mesh 上运行的工作负载完成情境感知访问权限控制。您可以根据发出请求的特性（例如用户身份、IP 地址和设备类型）设置精细的访问权限政策。您可以根据请求网址的主机名和路径来结合您的访问权限政策与限制。

• 在 Anthos Service Mesh 授权中启用对情境感知声明的支持。

• 通过 Google Cloud 负载均衡器对应用的可扩缩、安全和可用性高的访问权限。高性能负载均衡提供分布式拒绝服务攻击 (DDoS) 的内置保护，并且支持全局任播 IP 寻址。

前提条件

• 安装所需的工具
• 下载asmcli
• 授予集群管理员权限
• 验证项目和集群

此外，本指南假定您拥有：

• Google Cloud 项目。
• Cloud Billing 帐号。

使用 Anthos Service Mesh 设置集群

本部分介绍如何针对 Anthos Service Mesh 的新安装和升级设置 IAP 集成。

预留静态 IP 地址并配置 DNS

如需将 Identity-Aware Proxy 与 Anthos Service Mesh 集成，您必须设置 Google Cloud HTTP(S) 负载均衡器，它需要一个指向静态 IP 地址的域名。您可以预留一个静态外部 IP 地址，这样会将该地址无限期地分配给您的项目，直到您明确释放该地址。

1. 预留静态外部 IP 地址：

   gcloud compute addresses create example-static-ip --global
   

2. 获取静态 IP 地址：

   gcloud compute addresses describe example-static-ip --global
   

3. 在您的域名注册商中，使用静态 IP 地址配置完全限定域名 (FQDN)。通常情况下，将 A 记录添加到 DNS 设置。为 FQDN 添加 A 记录的配置步骤和术语会因您的域名注册商而异。

   DNS 设置可能需要 24 到 48 小时才能生效。您可以继续设置本指南中的所有内容，但在 DNS 设置生效之前无法测试设置。

部署示例应用

启用 IAP 之前，您需要在 GKE 集群上运行的应用，以便验证所有请求是否都具有身份。本指南使用 Bookinfo 示例来演示如何设置 HTTP(S) 负载均衡器并启用 IAP。

按照相应步骤部署 Bookinfo。在您部署负载均衡器之前，您将无法在 GKE 集群之外（例如通过浏览器）访问 Bookinfo 应用。

外部请求

Bookinfo 的网关资源（在 samples/bookinfo/networking/bookinfo-gateway.yaml 中定义）使用预配置的 istio-ingressgateway。如前文所述，当您部署 Anthos Service Mesh 时，您为 istio-ingressgateway 指定了 NodePort，这会在服务网格上打开特定端口。虽然集群中的节点具有外部 IP 地址，但来自集群外部的请求会被 Google Cloud 防火墙规则阻止。启用 IAP 后，向公共互联网公开应用的正确方法是使用负载均衡器。请勿使用会绕过 IAP 的防火墙规则公开节点地址。

如需将请求路由到 Bookinfo，请在您的 Google Cloud 项目中设置 HTTP(S) 负载均衡器。由于负载均衡器在您的项目中，因此它位于防火墙内，可以访问集群中的节点。使用静态 IP 地址和您的域名配置负载均衡器后，您可以向域名发送请求，负载均衡器会将请求转发到集群中的节点。

启用 IAP

以下步骤介绍了如何启用 IAP。

配置同意屏幕

1. 使用 list 命令检查您是否已有品牌。每个项目只能有一个品牌。

   gcloud iap oauth-brands list

   以下是 gcloud 响应示例（如果存在品牌）：

   name: projects/[PROJECT_NUMBER]/brands/[BRAND_ID]
   applicationTitle: [APPLICATION_TITLE]
   supportEmail: [SUPPORT_EMAIL]
   orgInternalOnly: true
   

2. 如果不存在品牌，请使用 create 命令：

   gcloud iap oauth-brands create --application_title=APPLICATION_TITLE --support_email=SUPPORT_EMAIL

   调用 API 时上述字段为必填字段：

   • supportEmail：OAuth 同意屏幕上显示的支持电子邮件。该电子邮件地址可以是用户的地址，也可以是 Google 群组别名。虽然服务帐号也有一个电子邮件地址，但它们不是实际有效的电子邮件地址，在创建品牌时不能使用。但是，服务帐号可以是 Google 群组的所有者。创建新的 Google 群组或配置现有群组，然后将所需的服务帐号设置为该群组的所有者。

   • applicationTitle：OAuth 同意屏幕上显示的应用名称。

   响应包含以下字段：

   name: projects/[PROJECT_NUMBER]/brands/[BRAND_ID]
   applicationTitle: [APPLICATION_TITLE]
   supportEmail: [SUPPORT_EMAIL]
   orgInternalOnly: true
   

创建 IAP OAuth 客户端

1. 使用 create 命令可以创建客户端。使用上一步中的品牌 name。

   gcloud iap oauth-clients create projects/PROJECT_NUMBER/brands/BRAND-ID --display_name=NAME

   响应包含以下字段：

   name: projects/[PROJECT_NUMBER]/brands/[BRAND_NAME]/identityAwareProxyClients/[CLIENT_ID]
   secret: [CLIENT_SECRET]
   displayName: [NAME]
   

2. 使用客户端 ID（上一步中为 CLIENT_ID）和 CLIENT_SECRET 来启用 IAP。使用 OAuth 客户端中的材料创建 kubernetes Secret：

   kubectl create secret generic -n istio-system my-secret --from-literal=client_id=CLIENT_ID \
   --from-literal=client_secret=CLIENT_SECRET

部署负载均衡器

您可以使用 Ingress 资源创建使用自动配置的 SSL 证书的 HTTP(S) 负载均衡器。系统会为您的网域预配、续订和管理代管式 SSL 证书。

1. 创建 ManagedCertificate 资源。此资源会指定 SSL 证书的网域。spec.domains 列表只能包含一个网域。不支持通配符网域。 在以下 YAML 中，将 DOMAIN_NAME 替换为您为外部静态 IP 地址配置的域名。

   cat <<EOF | kubectl apply -f -
   apiVersion: networking.gke.io/v1
   kind: ManagedCertificate
   metadata:
     name: example-certificate
     namespace: istio-system
   spec:
     domains:
       - DOMAIN_NAME
   EOF

2. 创建 BackendConfig 资源。此资源指示 GCLB 如何对入站流量网关执行健康检查，以及如何配置 Identity-Aware Proxy。首先，从入站流量网关收集一些有关健康检查的值：

   • 健康检查入站流量端口：这是 istio-ingress 的健康检查端口。

     export HC_INGRESS_PORT=$(kubectl -n istio-system get service istio-ingressgateway -o jsonpath='{.spec.ports[?(@.name=="status-port")].nodePort}')

   • 健康检查入站流量路径：这是 istio-ingress 的健康检查路径。

     export HC_INGRESS_PATH=$(kubectl get pods -n istio-system -l app=istio-ingressgateway -o jsonpath='{.items[0].spec.containers[?(@.name=="istio-proxy")].readinessProbe.httpGet.path}')

   cat <<EOF | kubectl apply -n istio-system -f -
   apiVersion: cloud.google.com/v1
   kind: BackendConfig
   metadata:
     name: http-hc-config
   spec:
     healthCheck:
       checkIntervalSec: 2
       timeoutSec: 1
       healthyThreshold: 1
       unhealthyThreshold: 10
       port: ${HC_INGRESS_PORT}
       type: HTTP
       requestPath: ${HC_INGRESS_PATH}
     iap:
       enabled: true
       oauthclientCredentials:
         secretName: my-secret
   EOF

3. 使用 BackendConfig 为入站流量服务添加注释。

       kubectl annotate -n istio-system service/istio-ingressgateway --overwrite \
         cloud.google.com/backend-config='{"default": "http-hc-config"}' \
         cloud.google.com/neg='{"ingress":false}'
   

4. 通过定义 Ingress 资源来创建负载均衡器。

   • 将 networking.gke.io/managed-certificates 注释设置为您在上一步中创建的证书的名称 example-certificate。

   • 将 kubernetes.io/ingress.global-static-ip-name 注释设置为您预留的静态 IP 地址的名称 example-static-ip。

   • 将 serviceName 设置为 istio-ingressgateway，后者会在 Bookinfo 示例的 Gateway 资源中使用。

   cat <<EOF | kubectl apply -f -
   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: example-ingress
     namespace: istio-system
     annotations:
       kubernetes.io/ingress.global-static-ip-name: example-static-ip
       networking.gke.io/managed-certificates: example-certificate
   spec:
     defaultBackend:
       service:
         name: istio-ingressgateway
         port:
           number: 80
   EOF

5. 在 Google Cloud 控制台中，前往 Kubernetes Engine > Service 和 Ingress 页面。

   前往“Service 和 Ingress”页面

   您应该会在状态列中看到“正在创建 Ingress”(Creating ingress) 消息。等待 GKE 完全预配 Ingress，然后再继续。每隔几分钟刷新一次页面以获取 Ingress 的最新状态。预配 Ingress 后，您可能会看到“正常”状态，或者错误“所有后端服务均处于运行状况并不佳的状态”。GKE 预配的其中一项资源是默认健康检查。如果您看到错误消息，这表示已预配 Ingress，并且已运行默认健康检查。当您看到“正常”状态或错误时，请继续下一部分，为负载均衡器配置健康检查。

配置 IAP 访问权限列表

向 IAP 的访问权限政策添加用户：

gcloud beta iap web add-iam-policy-binding \
    --member=user:EMAIL_ADDRESS \
    --role=roles/iap.httpsResourceAccessor

其中 EMAIL_ADDRESS 是用户的完整电子邮件地址，例如 alice@example.com。

1. 测试负载均衡器。将浏览器指向：

   http://DOMAIN_NAME/productpage

   其中，DOMAIN_NAME 是您使用外部静态 IP 地址配置的域名。

   您应该会看到 Bookinfo 应用的 productpage。如果您多次刷新该页面，您应该会看到不同版本的评论，以轮询方式呈现：红色星标、黑色星标、无星标。

   您还应测试对 Bookinfo 的 https 访问权限。

在服务网格上启用 RCToken 支持

默认情况下，IAP 会生成一个 JSON Web 令牌 (JWT)，其作用范围仅限于 OAuth 客户端。对于 Anthos Service Mesh，您可以配置 IAP 以生成 RequestContextToken (RCToken)，这是一种 JWT，但可配置受众群体。通过 RCToken，您可以将 JWT 的受众群体配置为任意字符串，该字符串可在 Anthos Service Mesh 政策中使用以实现精细授权。

如需配置 RCToken，请执行以下操作：

1. 为 RCToken 受众群体创建环境变量。这可以是您所需的任何字符串。

   export RCTOKEN_AUD="your-rctoken-aud"
   

2. 可选：以下步骤需要 BACKEND_SERVICE_ID。如果您需要查找 BACKEND_SERVICE_ID，请运行以下命令：

   kubectl -n istio-system get Ingress example-ingress -o json | jq \
    '.metadata.annotations."ingress.kubernetes.io/backends"'
   

   预期输出类似于 "{\"BACKEND_SERVICE_ID\":\"HEALTHY\"}"。 例如 "ingress.kubernetes.io/backends": "{\"k8s-be-31224--51f3b55cd1457fb6\":\"HEALTHY\"}"。 此示例中的 BACKEND_SERVICE_ID 为 k8s-be-31224--51f3b55cd1457fb6。

3. 提取现有 IAP 设置。

   gcloud iap settings get --format json \
   --project=${PROJECT_ID} --resource-type=compute --service=BACKEND_SERVICE_ID > iapSettings.json
   

4. 使用 RCToken 受众群体更新 IapSettings。

   cat iapSettings.json | jq --arg RCTOKEN_AUD_STR $RCTOKEN_AUD \
   '. + {applicationSettings: {csmSettings: {rctokenAud: $RCTOKEN_AUD_STR}}}' \
   > updatedIapSettings.json
   

   gcloud iap settings set updatedIapSettings.json --format json \
   --project=${PROJECT_ID} --resource-type=compute --service=BACKEND_SERVICE_ID
   

5. 在 Istio 入站流量网关上启用 RCToken 身份验证。

   cat <<EOF | kubectl apply -f -
   apiVersion: "security.istio.io/v1beta1"
   kind: "RequestAuthentication"
   metadata:
     name: "ingressgateway-jwt-policy"
     namespace: "istio-system"
   spec:
     selector:
       matchLabels:
         app: istio-ingressgateway
     jwtRules:
     - issuer: "https://cloud.google.com/iap"
       jwksUri: "https://www.gstatic.com/iap/verify/public_key-jwk"
       audiences:
       - $RCTOKEN_AUD
       fromHeaders:
       - name: ingress-authorization
         prefix: "Istio "
       outputPayloadToHeader: "verified-jwt"
       forwardOriginalToken: true
   EOF
   

6. 可选：确保没有有效 JWT 的请求被拒绝：

     cat <<EOF | kubectl apply -f -
     apiVersion: security.istio.io/v1beta1
     kind: AuthorizationPolicy
     metadata:
       name: iap-gateway-require-jwt
       namespace: istio-system
     spec:
       selector:
         matchLabels:
           app: istio-iap-ingressgateway
       action: DENY
       rules:
         - from:
             - source:
                 notRequestPrincipals: ["*"]
     EOF
     

7. 确保向 Bookinfo productpage 发出的请求仍成功：

   http://DOMAIN_NAME/productpage

如需测试政策，请执行以下操作：

1. 创建 IapSettings 请求对象，但将 rctokenAud 设置为不同的字符串：

   cat iapSettings.json | jq --arg RCTOKEN_AUD_STR wrong-rctoken-aud \
   '. + {applicationSettings: {csmSettings: {rctokenAud: $RCTOKEN_AUD_STR}}}' \
   > wrongIapSettings.json
   

2. 调用 IapSettings API 来设置 RCtoken 受众群体。

   gcloud beta iap settings set wrongIapSettings.json --project=PROJECT_ID --resource-type=compute --service=BACKEND_SERVICE

3. 向 Bookinfo productpage 发出请求，请求应会失败：

   http://DOMAIN_NAME/productpage

清理

完成本教程后，移除以下资源以防止您的帐号产生不必要的费用：

1. 删除代管式证书：

   kubectl delete managedcertificates example-certificate

2. 删除 Ingress 以释放负载均衡资源：

   kubectl -n istio-system delete ingress example-ingress

3. 删除静态 IP 地址：

   gcloud compute addresses delete example-static-ip --global

   如果您这样做，请务必从您的域名注册商中删除 IP 地址。

4. 删除集群，以删除组成集群的资源，例如计算实例、磁盘和网络资源：

   gcloud container clusters delete CLUSTER_NAME