授權原則

Istio 授權原則啟用網格中工作負載的存取控制。

授權原則支援 CUSTOM、DENY 和 ALLOW 動作以進行存取控制。當 CUSTOM、DENY 和 ALLOW 動作同時用於一個工作負載時，會先評估 CUSTOM 動作，然後評估 DENY 動作，最後評估 ALLOW 動作。評估由以下規則決定

1. 如果存在任何符合請求的 CUSTOM 原則，則評估並在評估結果為拒絕時拒絕該請求。
2. 如果存在任何符合請求的 DENY 原則，則拒絕該請求。
3. 如果工作負載沒有 ALLOW 原則，則允許該請求。
4. 如果有任何符合請求的 ALLOW 原則，則允許該請求。
5. 拒絕該請求。

Istio 授權原則也支援 AUDIT 動作，以決定是否記錄請求。AUDIT 原則不影響是否允許或拒絕工作負載的請求。請求將完全根據 CUSTOM、DENY 和 ALLOW 動作來允許或拒絕。

如果工作負載上有符合請求的 AUDIT 原則，則會在內部將請求標記為應進行稽核。必須設定並啟用單獨的外掛程式，才能實際履行稽核決策並完成稽核行為。如果沒有啟用此類支援外掛程式，則不會稽核請求。

以下是 Istio 授權原則的範例

它將 action 設定為 ALLOW，以建立允許原則。預設的 action 是 ALLOW，但在原則中明確指定會很有幫助。

它允許來自以下來源的請求：

• 服務帳戶 cluster.local/ns/default/sa/sleep 或
• 命名空間 test

來存取具有以下條件的工作負載：

• 在路徑前綴為 /info 的情況下，使用 GET 方法，或
• 在路徑為 /data 的情況下，使用 POST 方法。

當請求具有由 https://# 發行的有效 JWT 權杖時。

任何其他請求都將被拒絕。

apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
  name: httpbin
  namespace: foo
spec:
  action: ALLOW
  rules:
  - from:
    - source:
        principals: ["cluster.local/ns/default/sa/sleep"]
    - source:
        namespaces: ["test"]
    to:
    - operation:
        methods: ["GET"]
        paths: ["/info*"]
    - operation:
        methods: ["POST"]
        paths: ["/data"]
    when:
    - key: request.auth.claims[iss]
      values: ["https://#"]

以下是另一個範例，將 action 設定為 DENY，以建立拒絕原則。它拒絕來自 dev 命名空間對 foo 命名空間中所有工作負載的 POST 方法的請求。

apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
  name: httpbin
  namespace: foo
spec:
  action: DENY
  rules:
  - from:
    - source:
        namespaces: ["dev"]
    to:
    - operation:
        methods: ["POST"]

以下是另一個範例，將 action 設定為 DENY，以建立拒絕原則。它拒絕所有對 foo 命名空間中所有工作負載的 8080 連接埠使用 POST 方法的請求。

apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
  name: httpbin
  namespace: foo
spec:
  action: DENY
  rules:
  - to:
    - operation:
        methods: ["POST"]
        ports: ["8080"]

當此規則應用於 TCP 流量時，method 欄位（以及所有基於 HTTP 的屬性）無法處理。對於 DENY 規則，遺失的屬性會被視為符合。這表示在上述範例中，所有在 8080 連接埠上的 TCP 流量都會被拒絕。如果我們移除 ports 匹配，則所有 TCP 流量都會被拒絕。因此，建議始終將 DENY 原則的範圍設定為特定連接埠，尤其是在使用 HTTP 屬性時 TCP 連接埠的授權原則。

以下授權原則將 action 設定為 AUDIT。它將稽核任何對路徑前綴為 /user/profile 的 GET 請求。

apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
  namespace: ns1
  name: anyname
spec:
  selector:
    matchLabels:
      app: myapi
  action: AUDIT
  rules:
  - to:
    - operation:
        methods: ["GET"]
        paths: ["/user/profile/*"]

授權原則的範圍（目標）由「metadata/namespace」和可選的 selector 決定。

• 「metadata/namespace」指示原則適用於哪個命名空間。如果設定為根命名空間，則該原則適用於網格中的所有命名空間。
• 工作負載 selector 可以用來進一步限制原則的適用範圍。

例如，以下授權原則適用於命名空間 foo 中的所有工作負載。它不允許任何請求，實際上拒絕所有對命名空間 foo 中工作負載的請求。

apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
 name: allow-nothing
 namespace: foo
spec:
  {}

以下授權原則允許所有對命名空間 foo 中工作負載的請求。

apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
 name: allow-all
 namespace: foo
spec:
 rules:
 - {}

以下授權原則適用於命名空間 bar 中包含標籤 app: httpbin 的工作負載。它不允許任何請求，實際上拒絕所有對選定工作負載的請求。

apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
  name: allow-nothing
  namespace: bar
spec:
  selector:
    matchLabels:
      app: httpbin

以下授權原則適用於網格中所有命名空間中包含標籤 version: v1 的工作負載。（假設根命名空間配置為 istio-system）。

apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
 name: allow-nothing
 namespace: istio-system
spec:
 selector:
   matchLabels:
     version: v1

以下範例說明如何使用 實驗性註解 istio.io/dry-run 設定授權原則，以在不實際強制執行的情況下試執行該原則。

試執行註解可讓您在將授權原則應用於生產流量之前，更好地了解其影響。這有助於降低因不正確的授權原則而導致生產流量中斷的風險。如需更多資訊，請參閱試執行任務。

apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
  name: dry-run-example
  annotations:
    "istio.io/dry-run": "true"
spec:
  selector:
    matchLabels:
      app: httpbin
  action: DENY
  rules:
  - to:
    - operation:
        paths: ["/headers"]

AuthorizationPolicy

規則

來源

principals: ["admin", "dev"]
namespaces: ["prod", "test"]
notIpBlocks: ["203.0.113.4"]

操作

hosts: ["*.example.com"]
methods: ["GET", "HEAD"]
notPaths: ["/admin*"]

條件

AuthorizationPolicy.ExtensionProvider

Rule.From

Rule.To

AuthorizationPolicy.Action

apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
  name: ext-authz
  namespace: istio-system
spec:
  selector:
    matchLabels:
      app: istio-ingressgateway
  action: CUSTOM
  provider:
    name: "my-custom-authz"
  rules:
  - to:
    - operation:
        paths: ["/admin/*"]