使用内部签名证书针对 JWKS 进行 Istio JWT 验证

Question

我正在尝试配置 Istio 身份验证策略来验证我们的 JWT。

我设置了策略并可以看到它生效了。但是它不允许任何东西连接。应用该策略时，如果我检查 istio-pilot 日志，我会发现它无法检索签名 key ，从而出现证书错误。

2018-10-24T03:22:41.052354Z error   model   Failed to fetch pubkey from "https://iam.company.com.au/oauth2/jwks":  Get https://iam.company.com.au/oauth2/jwks:  x509: certificate signed by unknown authority
2018-10-24T03:22:41.052371Z warn    Failed to fetch jwt public key from "https://iam.company.com.au/oauth2/jwks "

我认为这是由于该服务器使用由我们公司 CA 签名的 TLS 证书所致。

如何让 istio-pilot 信任我们 CA 的证书？我已经尝试安装 ca 证书并将我们的 CA 公钥包含在 Ubuntu 证书中，但它仍然无法工作。

政策:

apiVersion: "authentication.istio.io/v1alpha1"
kind: "Policy"
metadata:
  name: "our-service-jwt-example"
spec:
  targets:
  - name: our-service
  origins:
  - jwt:
      issuer: iam.company.com.au
      audiences:
      - YRhT8xWtcLrOQmqJUGPA1p6O6mUa
      jwksUri: "https://iam.company.com.au/oauth2/jwks"
  principalBinding: USE_ORIGIN

Answer 1

Pilot 为特使进行 jwks 解析。在这种情况下，飞行员需要拥有CA证书。目前无法向 Pilot 添加 CA 证书，除非您在 istio 中部署 Pilot 时添加证书。 https://github.com/istio/istio/blob/master/pilot/pkg/model/jwks_resolver.go