为什么在istio中有两种不同的方式来启用mTLS？
在Istio中存在两种不同的方式来启用mTLS，是为了满足不同的场景和需求。
- 基于命名空间的mTLS：这种方式是在命名空间级别启用mTLS。命名空间是Kubernetes中的一个重要概念，用于将资源隔离开来。启用基于命名空间的mTLS可以确保同一个命名空间下的所有服务之间进行双向认证和加密通信。这种方式适用于同一个命名空间中的服务需要高度信任和安全通信的场景。在Istio中，可以通过在命名空间级别配置
PeerAuthentication策略来启用基于命名空间的mTLS。 - 基于服务的mTLS：这种方式是在服务级别启用mTLS。服务是应用程序的组件，代表了一个特定的功能模块或微服务。启用基于服务的mTLS可以在服务之间实现双向认证和加密通信，确保服务之间的通信是安全的。这种方式适用于不同命名空间的服务需要进行安全通信的场景。在Istio中，可以通过在服务级别配置
DestinationRule来启用基于服务的mTLS。
优势：
- 安全性增强：mTLS可以确保通信的机密性和完整性，通过双向认证防止未经授权的访问。
- 细粒度控制：通过启用mTLS，可以对服务之间的通信进行细粒度的访问控制和策略定义。
- 适应不同需求：基于命名空间的mTLS适用于需要在同一命名空间内的服务之间实现安全通信，而基于服务的mTLS适用于不同命名空间之间的服务通信。
应用场景：
- 微服务架构：在使用Istio构建微服务架构时，可以通过启用mTLS来确保服务之间的通信安全。
- 多租户环境：在多租户环境中，不同租户的服务之间需要进行安全通信，可以通过mTLS来实现。
- 保护敏感数据：对于处理敏感数据的服务，启用mTLS可以提供更高的安全性保护。
腾讯云相关产品和产品介绍链接地址：
- 腾讯云容器服务 TKE：TKE是腾讯云提供的容器编排服务，可以与Istio结合使用来构建安全可靠的容器化应用。了解更多信息：https://cloud.tencent.com/product/tke
- 腾讯云安全计算服务：腾讯云安全计算服务提供了一种可信、安全的计算环境，可以用于保护容器、应用和敏感数据的安全。了解更多信息：https://cloud.tencent.com/product/safecompute
相关·内容
我正在对我的网格启用mTLS，并遇到了下面的命令。istioctl manifest apply --set profile=demo,values.global.mtls.enabled=true 我还在下面的yaml文件中找到了enable mTLSapiVersion: "authentication.istio.io/v1alpha1"metadata:
name: "defa
浏览 15提问于2020-02-02得票数 1
回答已采纳
我之前有一堆微服务在没有启用mtls的情况下运行得很好，我可以通过我的前端http://192.168.99.100:31001/、后端和在各种其他NodePort上运行的db来访问它们。对于我的项目的下一阶段，我需要启用mtls，以通过由istio控制的JWT令牌来保护我的服务。但是，当我使用istio-auth-
浏览 21提问于2019-03-05得票数 0
回答已采纳
1回答
最近，我开始在AWS EKS集群中学习和实现istio。为了配置入口网关的TLS，我遵循了，它只要求您将ARN添加到ingressgateway作为注释。因此，我既不能使用证书来创建secret，也不能使用envoyproxy的SDS。apiVersion: security.
浏览 2提问于2020-09-28得票数 2
回答已采纳
我有一个现有的GKE集群，安装了Istio addon，例如： --addons=Istio--istio-config=auth=MTLS_PERMISSIVE \ --machine-type=n1根据指南，Istio需要启用SDS，在安装时可以这样
浏览 1提问于2019-08-13得票数 2
回答已采纳
在Istio中启用mTLS时，给定部署的每个容器都有一个证书。
我的问题是:相同部署的吊舱是否共享相同的证书，还是每个吊舱都不同？
浏览 2提问于2021-12-24得票数 1
我对在EKS中使用Istio感到有点困惑。我们有两个spring引导微服务，一个是REST服务提供商，另一个是消费者。我们希望使用Istio实现Authn和authz。FOr : 1.在提供者服务端:我有一个VirtualService，一个目标规则(声明TLS模式应该是传入流量的ISTIO_MUTUAL )，一个AuthorizationPolicy，它基本上是白名单客户端服务帐户:我在这里的理解是，此策略不允许任何非m
浏览 3提问于2020-02-06得票数 0
回答已采纳
1回答
我试图将运行在k8s上的Istio服务网格从http转换为https，但遇到了许多问题。我真的不明白要这么做需要采取什么步骤。据我所知，有两种流量需要一个网格中的TLS：
内部服务之间的：搜索Istio让我知道Istio将以某种方式在服务之间自动配置mTLS，这样它们都可以安全地通信而不需要任何额外的配置。但是，我仍然不太明白他们是如何实现这个mTLS的。它与
浏览 0提问于2021-09-20得票数 1
我正在运行一个kubernetes (kubeflow + k8s)吊舱，它有一个jupyter笔记本和一个在kubernetes服务器之外的对接服务，我目前正在尝试连接到一个sql服务，但是它一直在获取ConnectionResetError，防火墙和端口都暴露了所需的端口，但是k8s一直无法连接，有什么问题呢？
浏览 0提问于2020-12-09得票数 2
我是Istio的新手，我想在Istio中为mTLS使用我自己的根证书。我正在跟踪这个医生：当我将秘密名称从仙人掌更改为cacerts1时，Istio不再使用cacert1中的
浏览 7提问于2022-01-04得票数 0
1回答
我已经设置了全局启用mtls的istio。我已经验证了这一点，方法是在没有特使sidecar的情况下撞上一个锅，并在http上运行curl命令，但失败了。然后使用Istio证书在HTTPS上运行curl，这是有效的。当我端口转发到一个服务，eq kubectl port-forward svc/my-svc 8080:80我可以通过转到http://localhost:8080来访问我<
浏览 3提问于2018-09-12得票数 1
我的服务网格上有这样的配置：
apiVersion: networking.istio.io/v1alpha3metadata:s
浏览 0提问于2019-10-11得票数 0
回答已采纳
我在Azure上有一个AKS集群，启用了虚拟节点(/azure-ACIv1.3.2)，它工作正常(有点古怪，但主要是工作)。我的问题是，只要我在虚拟节点上运行的任何部署都启用istio侧汽车注入，istio代理侧服务器就不会启动，从而阻止整个吊舱启动。我认为问题在于，在虚拟-kubelet/azure中还不支持v1:status.podIP，而istio规范使用它。
有人有这个问题吗？我在
浏览 0提问于2021-02-13得票数 1
我正在尝试在我的网格中启用mTLS，我已经使用了istio的侧翼。我的问题是，我只是得到工作连接到一个点，然后它无法连接。作为负载均衡器来proxy_pass我的请求到我的API或我的前端页面。我试着在没有istio IngressGateway的情况下保存它，但是我无法使它工作。另外要注意的是，Service首先连接到网格外部
浏览 0提问于2019-08-29得票数 1
回答已采纳
1回答
我想实现在kubernetes集群中运行的不同服务之间的TLS互限，我发现Istio是一个很好的解决方案，可以在不改变代码的情况下实现这一点。我正在尝试使用inside注入来实现集群内运行的服务之间的TLS互操作。
外部流量通过nginx入口控制器进入网格。但是，一旦我在应用程序的名称空间中启用了sidecar，应用程序就不再能够处理请求(我猜传入的<
浏览 6提问于2020-10-05得票数 2
我试图从istio的一个荚调用一个运行在另一个荚中的web服务。
我用python写了两个微服务。您能告诉我如何从运行在一个吊舱中的一个微服务到在另一个吊舱中运行的另一个微服务调用https吗？我可以从istio网站找到下面的示例命令。kubectl exec $(kubectl get pod -l app=sleep -o jsonpath={.items..metadata.name}) -c istio-proxy -- curl代理容器进行h
浏览 2提问于2020-01-25得票数 2
回答已采纳
我有一个名称空间ns-restriction-demo-2中的DB和一个nodeJs应用程序，它从名称空间ns-restriction-demo-1中使用该数据库。因此，我试图添加授权，即DB只能通过一个名称空间(ns-限制-dem-1)访问，但是当我启用混频器日志时，我意识到源属性是不同的。: source.labels["app"] | source.workload.name | "unknown"
user: source.user | "unknown
浏览 5提问于2019-10-02得票数 0
要启用相互TLS，服务网格中的每个服务都需要具有不同的身份和客户端证书。
GKE上的Istio会为相互TLS的每个服务创建不同的服务账号吗？
浏览 19提问于2019-10-29得票数 0
我有一个托管REST回显服务的Kubernetes集群(AKS)。该服务通过HTTP运行得很好。我使用NGINX入口来路由流量。现在，我希望通过HTTPS和mTLS设置此服务，从而强制客户端指定一个能够与echo服务通信的证书。这是一个POC，所以我使用的是自签名证书。 我需要设置哪些Kubernetes组件才能做到这一点？我阅读了NGINX文档，但无法理解是否需要在Kubernetes集群中创建证书颁发机构/证书管理器，并使用它来配置入口服务来执行mTLS步
浏览 68提问于2020-07-22得票数 7
回答已采纳
1回答
卡夫卡集群的工作没有任何问题时，卡夫卡以及客户端吊舱没有注入Istio代理。我的问题是:当我用kafka客户端和Istio代理注入创建一个吊舱时，我无法连接到Kafka集群。客户端的日志：在服务器端：org.apache.kafka.common.network.InvalidReceiveException: Invalid receive (size = 369295616 larger t
浏览 4提问于2020-07-09得票数 7
我尝试使用SSL设置一个aws负载均衡器(ELB)，按照#6566的指示然而，当我试图在浏览器上访问我们的网页时，我遇到了“上游连接错误或头前断开/重置。重置原因:连接终止”的问题。我使用自定义values.yaml安装istio (helm模板)：
helm template ./istio/install/kubernetes/helm/<
浏览 0提问于2019-05-19得票数 12
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
实时音视频
云直播活动推荐
腾讯云开发者
