服务网格 ASM：入门示例

ASM 1.21及以下版本

使用Kubernetes Gateway API，可以为bookinfo-productpage服务账户部署Waypoint代理，该代理用于productpage服务。任何流向productpage服务的流量都将由该7层代理路由。

1. 执行以下命令，为bookinfo-productpage服务账户部署Waypoint代理。

   istioctl x waypoint apply --service-account bookinfo-productpage

2. 执行以下命令，查看productpage的Waypoint代理状态。

   kubectl get gtw bookinfo-productpage -o yaml

   展开查看预期输出

   apiVersion: gateway.networking.k8s.io/v1beta1
   kind: Gateway
   metadata:
     annotations:
       gateway.istio.io/controller-version: "5"
       istio.io/for-service-account: bookinfo-productpage
     creationTimestamp: "2023-08-10T08:35:51Z"
     generation: 1
     name: bookinfo-productpage
     namespace: default
     resourceVersion: "7828921"
     uid: c085b788-a8fa-4a2c-8376-18d08689****
   spec:
     gatewayClassName: istio-waypoint
     listeners:
     - allowedRoutes:
         namespaces:
           from: Same
       name: mesh
       port: 15008
       protocol: HBONE
   status:
     conditions:
     - lastTransitionTime: "2023-08-10T08:35:51Z"
       message: Handled by Istio controller
       observedGeneration: 1
       reason: Accepted
       status: "True"
       type: Accepted

3. 修改AuthorizationPolicy。

   1. 将productpage-viewer.yaml文件修改为如下内容，明确允许sleep和网关服务账户通过GET方式访问productpage服务，但不允许执行其他操作。

      apiVersion: security.istio.io/v1beta1
      kind: AuthorizationPolicy
      metadata:
       name: productpage-viewer
       namespace: default
      spec:
       selector:
         matchLabels:
           istio.io/gateway-name: bookinfo-productpage
       action: ALLOW
       rules:
       - from:
         - source:
             principals:
             - cluster.local/ns/default/sa/sleep
             - cluster.local/ns/istio-system/sa/istio-ingressgateway
         to:
         - operation:
             methods: ["GET"]

   2. 执行以下命令，重新部署AuthorizationPolicy。

      kubectl apply -f productpage-viewer.yaml

4. 验证授权策略是否生效。

   1. 执行以下命令：

      kubectl exec deploy/sleep -- curl -s "http://$GATEWAY_HOST/productpage" -X DELETE

      预期输出：

       RBAC: access denied                                                                                                       

   2. 执行以下命令：

      kubectl exec deploy/notsleep -- curl -s http://productpage:9080/

      预期输出：

        RBAC: access denied

   3. 执行以下命令：

      kubectl exec deploy/sleep -- curl -s http://productpage:9080/ | grep -o "<title>.*</title>"

      预期输出：

       <title>Simple Bookstore App</title>

      以上结果表明授权策略生效。

ASM 1.22及以上版本

要在Ambient模式下使用L7能力，首先需要为指定服务或工作负载启用Waypoint代理。

如何为指定服务或工作负载启用Waypoint代理？

为了支持更加灵活的在不同范围内启用Waypoint，1.22使用了新的配置Waypoint的方法。配置主要分为两部分：

1. 首先您需要创建一个Waypoint代理，在Waypoint上通过label指定要生效的流量。

   apiVersion: gateway.networking.k8s.io/v1
   kind: Gateway
   metadata:
     labels:
       istio.io/waypoint-for: service
     name: waypoint
     namespace: default
   spec:
     gatewayClassName: istio-waypoint
     listeners:
     - name: mesh
       port: 15008
       protocol: HBONE

   1. 这个Gateway资源的gatewayClassName字段为istio-waypoint，声明创建的是Waypoint。

   2. 它带有一个特殊的labelistio.io/waypoint-for: service，表明这个Waypoint专为Service的流量服务。除了service之外，还支持配置：workload（专用于Pod）以及all（Service和Workload）。

2. 指定哪些流量要被Waypoint代理。需要在Service、Namespace或者Pod上加上istio.io/use-waypoint这个label，label的值是要使用的Waypoint代理名称。

   apiVersion: v1
   kind: Service
   metadata:
     labels:
       app: httpbin
       service: httpbin
       istio.io/use-waypoint: waypoint
     name: httpbin
     namespace: default
   spec:
     ports:
     - name: http
       port: 8000
       protocol: TCP
       targetPort: 80
     selector:
       app: httpbin
     type: ClusterIP

演示

接下来，继续在本文的环境下演示如何使用L7授权策略。

1. 使用ACK kubeconfig，将以下Waypoint代理的内容部署到default命名空间。

   apiVersion: gateway.networking.k8s.io/v1
   kind: Gateway
   metadata:
     labels:
       istio.io/waypoint-for: service
     name: waypoint
     namespace: default
   spec:
     gatewayClassName: istio-waypoint
     listeners:
     - name: mesh
       port: 15008
       protocol: HBONE

2. 使用ACK集群kubeconfig执行以下命令，为productpage对应的Service添加label，让对应流量被waypoint代理。

   kubectl label service productpage istio.io/use-waypoint=waypoint

3. 使用以下内容更新AuthorizationPolicy。

   apiVersion: security.istio.io/v1beta1
   kind: AuthorizationPolicy
   metadata:
     name: productpage-viewer
     namespace: default
   spec:
     targetRefs:
     - kind: Service
       group: ""
       name: productpage
     action: ALLOW
     rules:
     - from:
       - source:
           principals:
           - cluster.local/ns/default/sa/sleep
       to:
       - operation:
           methods: ["GET"]

   明确指出只允许slepp使用GET访问productpage服务，其余请求都将被拒绝。

   说明

   如果直接apply上述授权策略失败，请删除原有授权策略后重新apply。

4. 验证授权策略是否生效

   1. 使用ACK kubeconfig，执行以下命令使用GET方法访问productpage服务。

      kubectl exec deploy/sleep -- curl -s http://productpage:9080/ | grep -o "<title>.*</title>"

      预期输出：

      <title>Simple Bookstore App</title>

   2. 执行以下命令，使用DELETE方法访问productpage服务。

      kubectl exec deploy/sleep -- curl -XDELETE -s http://productpage:9080/

      预期输出：

      RBAC: access denied

   3. 执行以下命令，使用GET方法访问productpage服务。

      kubectl exec deploy/notsleep -- curl -s http://productpage:9080/

      预期输出：

      RBAC: access denied

   以上结果表明授权策略生效。