#IstioCon Secure Platform • JWT Verify • Mutual TLS • Authorization Policy • Envoy External Authorization #IstioCon Secure Platform #IstioCon Secure Platform – JWT Verify Using request authentication authentication policy to Verify end-user JWT easily #IstioCon Secure Platform – mutual TLS Using mutual TLS for service-to-service authentication. • When a service receives or sends network traffic, the traffic • When mTLS is enabled between two services, the client side and server side’s “envoy proxies” verify each other’s identities before sending requests. • If the verification is successful, then the

envoy connection [C289] TLS error: 337047686:SSL routines:tls_process_server_certificate:certificate verify failed OSSM-1099 Kiali 控制台显示消息 Sorry, there was a problem.Try a refresh or navigate to a different "nsenter": executable file not found in $PATH。容器镜像现在包含 nsenter，WASM 可 以正常工作。 MAISTRA-2534 当 istiod 试图为 JWT 规则中指定的签发者获取 JWKS 时，签发者服务会使用 502 响应。这导致代理容器就绪，并导致部署挂起。Service Mesh 2.0.7 版本中包括了对社区程 序漏洞的修复。 MAISTRA-2411 telemetry: type: Istiod version: v2.2 第 第 1 章 章 SERVICE MESH 2.X 65 添加了对嵌套 JSON Web Token(JWT)声明的支持。 EnvoyFilter 破坏更改> 必须使用 typed_config XDS v2 不再被支持 弃用的过滤器名称 较旧版本的代理可能会在从更新的代理接收 1xx 或 204

Exchange external credential to internal token to defend against token replay attacks. Internal JWT mTLS Edge security Cluster security best practices: access control Service 2 Service 1 1. Ensure security best practices: enforce boundaries Workload security best practices Scan vulnerabilities Verify images Gatekeeper Binary authorization Restrict privileges Gatekeeper Istio CNI Cluster security Enforce Verify Security Lifecycle Concepts Secure Monitor Enforce Verify Deploy comprehensive multi-layer security mechanisms. Enforce that the security mechanisms are not tampered. Verify that

Governance Audit Dynamic Secrets Static Secrets (Versioned) Crypto as a Service LDAP/AD OIDC JWT Github MFA/Radius Okta AWS Azure GCP AliCloud Kubernetes Cloud Foundry AppRole Databases Public Cloud 509 Certs RabbitMQ SSH / Active Directory Encrypt / Decrypt Format-preserving encryption Sign / Verify HMAC Masking Key Management via KMIP WEB UI CLI Under what conditions? Which secrets can I get

Istio Identity Istiod Istio Agent Envoy 1. Start Envoy 2. Request Cert (SDS)) 3. CSR Auth: JWT 4. Cert signed with SPIFFE format Istio-proxy CA server #IstioCon Istio identity – how to get to ingress gateway Authorize ingress traffic via JWT 1) Apply RequestAuthentication to ingress gateway Authorize ingress traffic via JWT https + JWT http http http mTLS mTLS Send request via curl only valid token does 2) Delete JWT authentication request, invalid token can pass the gateway Access productpage #IstioCon Authorize ingress traffic with JWT token apiVersion: "security.istio

未授权访问结果...............................................................................45 图 17 绕过 Istio JWT 认证访问结果........................................................45 图 18 云原生应用保护能力建设架构图............. 目前已作为微服务治理框架的代表，在 Istio 中 JWT 认证策略通常通 过配置一个 YAML 文件实现，以下是一个简单的 JWT 认证策略配置。 云原生安全威胁分析与能力建设白皮书 44 apiVersion: "authentication.istio.io/v1alpha1" kind: "Policy" metadata: name: "jwt-example" namespace: istio-ingressgateway #需要在 Istio 网关入口处部署 JWT 认证策略 origins: - jwt: issuer: "test@istio.io" #JWT 颁发者 jwksUri: "https://test.com/jwks.json" #用于验证 JWT 的 JWKS 所在 URL trigger_rules: #JWT 验证请求的触发规则列表 - included_paths:

负责 UDS 路径配置下发，用户通过 Policy CRD 和 DestinationRule 来决策需要给哪些 Sidecar 下发  Sidecar 收到SDS Config 后，然后以 JWT 格式封装身份信息（service account）向Citadel Agent请求证书  Citadel Agent 会将Sidecar 的请求包装成CSR 请求Citadel ，Citadel HTTP 请求，调用 安全Sidecar 提供的 JWT-SVID 颁发接口获取 JWT-SVID。  安全Sidecar 通过 Downward API 获取 Pod 身份，并转换成 SPIFFE ID。  安全Sidecar 通过密钥将 SPIFFE ID 签发为 JWT-SVID，返回给应用 A。  应用 A 在服务调用中带上 JWT-SVID 来声明自己的身份。使用可信身份服务构建敏感数据下发通道 来声明自己的身份。使用可信身份服务构建敏感数据下发通道 身份校验  从应用 A 发起的调用上下文中获取 JWT-SVID，并构造 HTTP 请求，调用安全Sidecar提供的 JWT- SVID 验证接口。  安全Sidecar通过密钥对 JWT-SVID 进行验签。  从 JWT-SVID 的 Body 部分中获取 SPIFFE ID。  将 SPIFFE ID 内容解释为几个关键属性 (例如租户 ID、应用名等)，并返回给应用

4
-
测试结果12
图2.
空转时的压⼒测试
API
的基线延迟12
图3.
API7与Kong
EE在20,000rps时的对⽐13
图4.
API7与Kong
EE在10,000
rps时的
JWT
对⽐。13
图5.
API7与Kong
EE在10,000
rps时的1,000条路由的对⽐14
5
-
结论15
6
-
附录16
7
-
关于GigaOm19
8
-
关于API720
Internal
Server
Error。100%
的成功率（如果图表上没有错误标记）意味着所有请求都返回了200
OK 状态码。 此外，我们测试了在相同配置下启⽤
JSON
Web令牌（JWT）⾝份验证，并使⽤
JWT
凭据对每个请求 进⾏⾝份验证。我们使⽤10,000
rps的压测条件进⾏测试。
在第四个测试中，我们⽣成了1000个相同的路由，并以10,000
rps
在所有路由上平均分配请求。
注：Kong
EE有1876个，或9.4%
的⾮2xx或3xx响应（失败）。
我们使⽤
JWT
⾝份验证来测试相同的配置下的延迟，如图4所⽰。
图4.
API7
与
Kong
EE
在
10,000
rps
时的
JWT
对⽐。
注：Kong
EE有606个，或6%
的⾮2xx或3xx响应（失败）。
第三，我们测试了1000个相同的路由（没有JWT），如图5所⽰。
图5.
API7与Kong
EE在10,000
rps时的1

建不同的⼯作分区，并 指定哪些⽤⼾对⼯作分区有哪些资源的访问权限； • 多环境：⽀持多
ETCD
集群，集群之间数据不共享；
• ⾝份验证：包含多种认证类插件，如
basic-auth、jwt-auth、key-auth、wolf-rbac
等。此外，借 助内置的
HMAC
插件，可使⽤
AK/SK
对请求参数进⾏签名与校验，以实现请求防篡改、请求防重 放的需求，并能够达到鉴权的⽬的；

防重放攻击
✔
✖
✖
✖
✖
⾝份认证
key-auth
✔
✔
✖
✖
✖
basic-auth
✔
✔
✖
✔
✖
JWT
✔
✔
✖
✖
✖
API
签名校验（HMAC）
✔
✔
✖
✖
✖
OAuth2
✔
✔
✖
✖
✖
SSO
✔
启⽤该插件后，客⼾端访问时需使⽤正确的账⼾、密码。
hmac-auth
启⽤该插件后，除了验证客⼾端⾝份有效性，其端请求参数 也将被签名验证，避免参数被篡改或⼆次访问（重放攻 击）。
jwt-auth
启⽤该插件后，将使⽤
JSON
Web
Token
⽅式进⾏有效性 验证，客⼾端访问时，需要在
HTTP
请求头中增加正确的
Token
内容。
key-auth
启⽤该插

ID）是从标签 azp 下的 JSON Web Token (JWT) 解析出来的。您可以根据需要修改它。 OpenID 验证方法示例 方法示例 要使这个集成服务可以正常工作，OIDC 必须在 3scale 中完成，以便客户端在身份提供者 (IdP) 中创建。 您应该为需要保护的服务在相同的命名空间内创建最终用户验证 。JWT 由请求的 Authorization 标头传 递。 在下面定义的 net/service-id"] | "" apiVersion: authentication.istio.io/v1alpha1 kind: Policy metadata: name: jwt-example namespace: bookinfo spec: origins: OpenShift Container Platform 4.2 Service Mesh 8080 提供各种 Prometheus 指标数据。这些指标可 让您了解适配器和 3scale 之间的交互是如何执行的。该服务被标记为由 Prometheus 自动发现和弃用。 - jwt: issuer: >- http://keycloak-keycloak.34.242.107.254.nip.io/auth/realms/3scale-keycloak