12.2. サービスメッシュおよび OpenShift Serverless での JSON Web トークン認証の使用

手順

1. 以下の Policy リソースを YAML ファイルにコピーします。

   重要

   パスの /metrics および /healthz は、knative-serving namespace のシステム Pod からアクセスされるため、excludedPaths に組み込まれる必要があります。

   apiVersion: authentication.istio.io/v1alpha1
   kind: Policy
   metadata:
     name: default
   spec:
     origins:
     - jwt:
         issuer: testing@secure.istio.io
         jwksUri: "https://raw.githubusercontent.com/istio/istio/release-1.6/security/tools/jwt/samples/jwks.json"
         triggerRules:
         - excludedPaths:
           - prefix: /metrics
           - prefix: /healthz
     principalBinding: USE_ORIGIN

2. Policy リソースの YAML ファイルを適用します。

   $ oc apply -f <filename>

検証

1. curl 要求トを使用して Knative サービス URL を取得しようとすると、これは拒否されます。

   $ curl http://hello-example-default.apps.mycluster.example.com/

   出力例

   Origin authentication failed.

2. 有効な JWT で要求を確認します。

   1. 以下のコマンドを入力して、有効な JWT トークンを取得します。

      $ TOKEN=$(curl https://raw.githubusercontent.com/istio/istio/release-1.6/security/tools/jwt/samples/demo.jwt -s) && echo "$TOKEN" | cut -d '.' -f2 - | base64 --decode -

   2. curl 要求ヘッダーで有効なトークンを使用してサービスにアクセスします。

      $ curl http://hello-example-default.apps.mycluster.example.com/ -H "Authorization: Bearer $TOKEN"

      これで要求が許可されます。

      出力例

      Hello OpenShift!