4.11. 권한 부여 정책 추가

프로세스

1. 다음 예와 유사한 권한 부여 정책을 생성합니다.

   설정 예

   apiVersion: security.istio.io/v1
   kind: AuthorizationPolicy
   metadata:
     name: productpage-waypoint
     namespace: info
   spec:
     targetRefs:
     - kind: Service
       group: ""
       name: productpage
     action: ALLOW
     rules:
     - from:
       - source:
           principals:
           - cluster.local/ns/default/sa/curl
       to:
       - operation:
           methods: ["GET"]

   Copy to Clipboard Toggle word wrap

2. 다음 명령을 실행하여 권한 부여 정책을 적용합니다.

   $ oc apply -f authorization-policy.yaml

   Copy to Clipboard Toggle word wrap

검증

1. 다음 명령을 실행하여 default 네임스페이스에 curl 애플리케이션을 배포합니다.

   $ oc apply -n default -f https://raw.githubusercontent.com/openshift-service-mesh/istio/refs/heads/master/samples/curl/curl.yaml

   Copy to Clipboard Toggle word wrap

2. 다음 명령을 실행하여 curl 배포의 상태를 기다린 후 가져옵니다.

   $ oc -n default rollout status deploy/curl --timeout=3m

   Copy to Clipboard Toggle word wrap

3. 다음 명령을 실행하여 productpage 서비스에 대한 GET 요청이 default/curl 포드에서 만들 때 HTTP 200 응답으로 성공했는지 확인합니다.

   $ oc -n default exec deploy/curl -- sh -c \
     'curl -s -o /dev/null -w "HTTP %{http_code}\n" http://productpage.info.svc.cluster.local:9080/productpage'

   Copy to Clipboard Toggle word wrap

4. 다음 명령을 실행하여 적용된 권한 부여 정책으로 인해 HTTP 403 응답으로 동일한 서비스에 대한 POST 요청이 거부되었는지 확인합니다.

   $ oc -n default exec deploy/curl -- sh -c \
     'curl -s -o /dev/null -w "HTTP %{http_code}\n" -X POST http://productpage.info.svc.cluster.local:9080/productpage'

   Copy to Clipboard Toggle word wrap

5. 다음 명령을 실행하여 info 네임스페이스의 평가 Pod와 같은 다른 서비스의 GET 요청이 RBAC: access denied 에서도 거부되었는지 확인합니다.

   $ oc exec "$(oc get pod -l app=ratings -n info \
   -o jsonpath='{.items[0].metadata.name}')" \
   -c ratings -n info \
   -- curl -sS productpage:9080/productpage

   Copy to Clipboard Toggle word wrap

6. 다음 명령을 실행하여 curl 애플리케이션을 삭제하여 리소스를 정리합니다.

   $ oc delete -n default -f https://raw.githubusercontent.com/openshift-service-mesh/istio/refs/heads/master/samples/curl/curl.yaml

   Copy to Clipboard Toggle word wrap