kubernetes - 如何使用启用 `mtls` 的基于 Istio 的服务？

Question

目前，我想引入 istio 作为我们微服务的服务网格框架。我曾经玩过它(< 1 周)，我的理解是 Istio 确实提供了一种简单的方法来保护服务到服务的通信。许多(或全部？) Istio 文档/文章提供了一个示例，将 istio-proxy (envoy) 安装为 sidecar 容器的客户端和服务器如何使用 mtls 建立安全通信方法。

但是，由于我们现有的客户(我没有任何控制权)使用我们的服务(将被迁移到使用 istio)没有 istio，我仍然不太了解我们应该如何做得更好。

是否有任何教程或示例可以更好地提供我的用例？

不基于 istio 的客户端如何使用 mtls使用我们基于 istio 的服务？考虑使用基本的curl命令来模拟这样的事情。

另外，我正在考虑将特定的服务帐户(kubernetes、gcp iam 服务帐户等)分发给客户端，以限制客户端在调用我们的服务时的权限。我对这些事情有很多疑问:gcp iam 服务帐户、istio、rbac、mtls、jwt token 等有助于保护我们的服务 API？

有什么建议吗？

Answer 1

您想通过公共(public)互联网上的 SSL 将第三方添加到您的网络之外的 Istio 网格吗？

我不认为 Istio 真的是为了联合外部服务，但你可以在网络边缘放置一个 istio 入口网关代理，用于路由进出应用程序。

https://istio.io/docs/tasks/traffic-management/ingress/

如果您正在构建微服务，那么您肯定有一个端点或网关，这对我来说似乎更明智，试试 Apigee 或其他东西。