4.11. 認可ポリシーの追加

手順

1. 次の例のような認可ポリシーを作成します。

   設定例

   apiVersion: security.istio.io/v1
   kind: AuthorizationPolicy
   metadata:
     name: productpage-waypoint
     namespace: info
   spec:
     targetRefs:
     - kind: Service
       group: ""
       name: productpage
     action: ALLOW
     rules:
     - from:
       - source:
           principals:
           - cluster.local/ns/curl/sa/curl
       to:
       - operation:
           methods: ["GET"]

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを実行して、認可ポリシーを適用します。

   $ oc apply -f authorization-policy.yaml

   Copy to Clipboard Toggle word wrap

検証

1. 次のコマンドを実行して、curl クライアントの namespace を作成します。

   $ oc create namespace curl

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを実行して、curl クライアントをデプロイします。

   $ oc apply -n curl -f https://raw.githubusercontent.com/openshift-service-mesh/istio/refs/heads/master/samples/curl/curl.yaml

   Copy to Clipboard Toggle word wrap

3. 次のコマンドを実行して、アンビエントモードのラベルを curl namespace に適用します。

   $ oc label namespace curl istio.io/dataplane-mode=ambient

   Copy to Clipboard Toggle word wrap

4. 次のコマンドを実行して、default/curl Pod から productpage サービスへの GET リクエストが HTTP 200 応答で成功することを確認します。

   $ oc -n curl exec deploy/curl -- sh -c \
     'curl -s -o /dev/null -w "HTTP %{http_code}\n" http://productpage.info.svc.cluster.local:9080/productpage'

   Copy to Clipboard Toggle word wrap

5. 次のコマンドを実行して、適用された認可ポリシーにより、同じサービスへの POST 要求が HTTP 403 応答で拒否されることを確認します。

   $ oc -n curl exec deploy/curl -- sh -c \
     'curl -s -o /dev/null -w "HTTP %{http_code}\n" -X POST http://productpage.info.svc.cluster.local:9080/productpage'

   Copy to Clipboard Toggle word wrap

6. 次のコマンドを実行して、info namespace の ratings Pod などの別のサービスからの GET 要求も RBAC: access denied で拒否されていることを確認します。

   $ oc exec "$(oc get pod -l app=ratings -n info \
   -o jsonpath='{.items[0].metadata.name}')" \
   -c ratings -n info \
   -- curl -sS productpage:9080/productpage

   Copy to Clipboard Toggle word wrap

7. 以下のコマンドを実行してリソースをクリーンアップします。

   1. 次のコマンドを実行して、curl アプリケーションを削除します。

      $ oc delete -n curl -f https://raw.githubusercontent.com/openshift-service-mesh/istio/refs/heads/master/samples/curl/curl.yaml

      Copy to Clipboard Toggle word wrap

   2. 次のコマンドを実行して、curl namespace を削除します。

      $ oc delete namespace curl

      Copy to Clipboard Toggle word wrap