2.13. 安全性

流程

1. 登录到 web 控制台。
2. 点 Project 菜单，选择安装 Service Mesh control plane 的项目，如 istio-system。
3. 点 Operators Installed Operators。
4. 点 Provided APIs 下的 Service Mesh Control Plane。
5. 点 ServiceMeshControlPlane 资源的名称，例如 basic。
6. 在 Details 页面中，单击 Data Plane Security 的 Security 部分中的切换。

1. 本地保存 Maistra repo 中的示例证书,，将 <path> 替换为证书的路径。

2. 创建名为 cacert 的 secret，其中包含输入文件 ca-cert.pem、ca-key.pem、root-cert.pem 和 cert-chain.pem。

   $ oc create secret generic cacerts -n istio-system --from-file=<path>/ca-cert.pem \
       --from-file=<path>/ca-key.pem --from-file=<path>/root-cert.pem \
       --from-file=<path>/cert-chain.pem

3. 在 ServiceMeshControlPlane 资源中将 spec.security.dataPlane.mtls 设置为 true，并配置 certificateAuthority 字段，如下例所示。默认 rootCADir 是 /etc/cacerts。如果在默认位置挂载了密钥和证书，则不需要设置 privateKey。Service Mesh 从 secret-mount 文件中读取证书和密钥。

   apiVersion: maistra.io/v2
   kind: ServiceMeshControlPlane
   spec:
     security:
       dataPlane:
         mtls: true
       certificateAuthority:
         type: Istiod
         istiod:
           type: PrivateKey
           privateKey:
             rootCADir: /etc/cacerts

4. 创建/更改/取消设置 cacert secret 后，Service Mesh control plane istiod 和 gateway pod 必须重启，以便更改生效。使用以下命令重启 pod：

   $ oc -n istio-system delete pods -l 'app in (istiod,istio-ingressgateway, istio-egressgateway)'

   Operator 会在 pod 被删除后自动重新创建。

5. 重启 info 应用程序 pod，以便 sidecar 代理获取 secret 的更改。使用以下命令重启 pod：

   $ oc -n info delete pods --all

   您应该看到类似如下的输出：

   pod "details-v1-6cd699df8c-j54nh" deleted
   pod "productpage-v1-5ddcb4b84f-mtmf2" deleted
   pod "ratings-v1-bdbcc68bc-kmng4" deleted
   pod "reviews-v1-754ddd7b6f-lqhsv" deleted
   pod "reviews-v2-675679877f-q67r2" deleted
   pod "reviews-v3-79d7549c7-c2gjs" deleted

6. 使用以下命令验证 pod 是否已创建并就绪：

   $ oc get pods -n info

1. 要从 info 工作负载中提取证书，请使用以下命令：

   $ sleep 60
   $ oc -n info exec "$(oc -n bookinfo get pod -l app=productpage -o jsonpath={.items..metadata.name})" -c istio-proxy -- openssl s_client -showcerts -connect details:9080 > bookinfo-proxy-cert.txt
   $ sed -n '/-----BEGIN CERTIFICATE-----/{:start /-----END CERTIFICATE-----/!{N;b start};/.*/p}' info-proxy-cert.txt > certs.pem
   $ awk 'BEGIN {counter=0;} /BEGIN CERT/{counter++} { print > "proxy-cert-" counter ".pem"}' < certs.pem

   运行此命令后，您的工作目录中应当有三个文件： proxy-cert-1.pem、proxy-cert-2.pem 和 proxy-cert-3.pem。

2. 验证 root 证书是否与管理员指定证书相同。将 <path> 替换为证书的路径。

   $ openssl x509 -in <path>/root-cert.pem -text -noout > /tmp/root-cert.crt.txt

   在终端窗口中运行以下语法：

   $ openssl x509 -in ./proxy-cert-3.pem -text -noout > /tmp/pod-root-cert.crt.txt

   通过在终端窗口中运行以下命令来比较证书。

   $ diff -s /tmp/root-cert.crt.txt /tmp/pod-root-cert.crt.txt

   您应看到以下结果：Files /tmp/root-cert.crt.txt and /tmp/pod-root-cert.crt.txt are identical

3. 验证 CA 证书是否与管理员指定证书相同。将 <path> 替换为证书的路径。

   $ openssl x509 -in <path>/ca-cert.pem -text -noout > /tmp/ca-cert.crt.txt

   在终端窗口中运行以下语法：

   $ openssl x509 -in ./proxy-cert-2.pem -text -noout > /tmp/pod-cert-chain-ca.crt.txt

   通过在终端窗口中运行以下命令来比较证书。

   $ diff -s /tmp/ca-cert.crt.txt /tmp/pod-cert-chain-ca.crt.txt

   您应看到以下结果：Files /tmp/ca-cert.crt.txt and /tmp/pod-cert-chain-ca.crt.txt are identical.

4. 从 root 证书到工作负载证书验证证书链。将 <path> 替换为证书的路径。

   $ openssl verify -CAfile <(cat <path>/ca-cert.pem <path>/root-cert.pem) ./proxy-cert-1.pem

   您应看到以下结果：./proxy-cert-1.pem: OK

1. 删除 secret cacert。在本例中，istio-system 是 Service Mesh control plane 项目的名称。

   $ oc delete secret cacerts -n istio-system

2. 在 ServiceMeshControlPlane 资源中使用自签名 root 证书重新部署 Service Mesh。

   apiVersion: maistra.io/v2
   kind: ServiceMeshControlPlane
   spec:
     security:
       dataPlane:
         mtls: true

流程

1. 创建 root 集群签发者：

   1. 创建 cluster-issuer 对象，如下例所示：

      cluster-issuer.yaml 示例

      apiVersion: cert-manager.io/v1
      kind: Issuer
      metadata:
        name: selfsigned-root-issuer
        namespace: cert-manager
      spec:
        selfSigned: {}
      ---
      apiVersion: cert-manager.io/v1
      kind: Certificate
      metadata:
        name: root-ca
        namespace: cert-manager
      spec:
        isCA: true
        duration: 21600h # 900d
        secretName: root-ca
        commonName: root-ca.my-company.net
        subject:
          organizations:
          - my-company.net
        issuerRef:
          name: selfsigned-root-issuer
          kind: Issuer
          group: cert-manager.io
      ---
      apiVersion: cert-manager.io/v1
      kind: ClusterIssuer
      metadata:
        name: root-ca
      spec:
        ca:
          secretName: root-ca

      注意

      selfsigned-root-issuer issuer 和 root-ca 证书的命名空间是 cert-manager，因为 root-ca 是集群签发者，因此 cert-manager 会在其自己的命名空间中查找引用的 secret。在 Red Hat OpenShift 的 cert-manager Operator 时，命名空间称为 cert-manager。

   2. 使用以下命令创建对象：

      $ oc apply -f cluster-issuer.yaml

   3. 创建 istio-ca 对象，如下例所示：

      istio-ca.yaml 示例

      apiVersion: cert-manager.io/v1
      kind: Certificate
      metadata:
        name: istio-ca
        namespace: istio-system
      spec:
        isCA: true
        duration: 21600h
        secretName: istio-ca
        commonName: istio-ca.my-company.net
        subject:
          organizations:
          - my-company.net
        issuerRef:
          name: root-ca
          kind: ClusterIssuer
          group: cert-manager.io
      ---
      apiVersion: cert-manager.io/v1
      kind: Issuer
      metadata:
        name: istio-ca
        namespace: istio-system
      spec:
        ca:
          secretName: istio-ca

   4. 使用以下命令来创建对象：

      $ oc apply -n istio-system -f istio-ca.yaml

2. 安装 istio-csr ：

   $ helm install istio-csr jetstack/cert-manager-istio-csr \
       -n istio-system \
       -f deploy/examples/cert-manager/istio-csr/istio-csr.yaml

   istio-csr.yaml 示例

   replicaCount: 2
   
   image:
     repository: quay.io/jetstack/cert-manager-istio-csr
     tag: v0.6.0
     pullSecretName: ""
   
   app:
     certmanager:
       namespace: istio-system
       issuer:
         group: cert-manager.io
         kind: Issuer
         name: istio-ca
   
     controller:
       configmapNamespaceSelector: "maistra.io/member-of=istio-system"
       leaderElectionNamespace: istio-system
   
     istio:
       namespace: istio-system
       revisions: ["basic"]
   
     server:
       maxCertificateDuration: 5m
   
     tls:
       certificateDNSNames:
       # This DNS name must be set in the SMCP spec.security.certificateAuthority.cert-manager.address
       - cert-manager-istio-csr.istio-system.svc

3. 部署 SMCP：

   $ oc apply -f mesh.yaml -n istio-system

   mesh.yaml 示例

   apiVersion: maistra.io/v2
   kind: ServiceMeshControlPlane
   metadata:
     name: basic
   spec:
     addons:
       grafana:
         enabled: false
       kiali:
         enabled: false
       prometheus:
         enabled: false
     proxy:
       accessLogging:
         file:
           name: /dev/stdout
     security:
       certificateAuthority:
         cert-manager:
           address: cert-manager-istio-csr.istio-system.svc:443
         type: cert-manager
       dataPlane:
         mtls: true
       identity:
         type: ThirdParty
     tracing:
       type: None
   ---
   apiVersion: maistra.io/v1
   kind: ServiceMeshMemberRoll
   metadata:
     name: default
   spec:
     members:
     - httpbin
     - sleep

1. 部署 HTTP 和 sleep 应用程序：

   $ oc new-project <namespace>

   $ oc apply -f https://raw.githubusercontent.com/maistra/istio/maistra-2.4/samples/httpbin/httpbin.yaml

   $ oc apply -f https://raw.githubusercontent.com/maistra/istio/maistra-2.4/samples/sleep/sleep.yaml

2. 验证 sleep 是否可以访问 httpbin 服务：

   $ oc exec "$(oc get pod -l app=sleep -n <namespace> \
      -o jsonpath={.items..metadata.name})" -c sleep -n <namespace> -- \
      curl http://httpbin.<namespace>:8000/ip -s -o /dev/null \
      -w "%{http_code}\n"

   输出示例

   200

3. 检查来自 ingress 网关到 httpbin 服务的 mTLS 流量：

   $ oc apply -n <namespace> -f https://raw.githubusercontent.com/maistra/istio/maistra-2.4/samples/httpbin/httpbin-gateway.yaml

4. 获取 istio-ingressgateway 路由：

   INGRESS_HOST=$(oc -n istio-system get routes istio-ingressgateway -o jsonpath='{.spec.host}')

5. 验证从 ingress 网关到 httpbin 服务的 mTLS 流量：

   $ curl -s -I http://$INGRESS_HOST/headers -o /dev/null -w "%{http_code}" -s