配置安全访问控制

配置安全访问控制

本任务将演示如何通过使用Istio认证提供的服务账户，来安全地对服务做访问控制。

当Istio双向TLS认证打开时，服务器就会根据其证书来认证客户端，并从证书获取客户端的服务账户。服务账户在source.user的属性中。请参考Istio auth identity了解Istio中服务账户的格式。

开始之前

根据quick start的说明在开启认证的Kubernetes中安装Istio。注意，应当在installation steps中的第四步开启认证。
部署BookInfo示例应用。
执行下列命令创建bookinfo-productpage服务账户，并重新部署productpage服务及其服务账户。
```
  kubectl create -f <(istioctl kube-inject -f samples/bookinfo/kube/bookinfo-add-serviceaccount.yaml)
```
期望看到类似如下的输入：
```
  serviceaccount "bookinfo-productpage" created
  deployment "productpage-v1" configured
```
注意：如果使用default之外的命名空间，需要通过istioctl -n namespace ...来指定命名空间。

使用denials做访问控制

在示例应用BookInfo中，productpage服务会同时访问reviews服务和details服务。现在让details服务拒绝来自productpage服务的请求：

在浏览器中打开BookInfo的productpage (http://$GATEWAY_URL/productpage)页面。

将会在页面左下部看到”Book Details”部分，包括了类型、页数、出版社等信息。productpage服务是从details服务获取的”Book Details”信息。
明确拒绝从productpage 到 details的请求。

执行下列命令来安装拒绝规则及对应的handler和实例。
```
istioctl create -f samples/bookinfo/kube/mixer-rule-deny-serviceaccount.yaml
```
将会看到类似下面的输出：
```
Created config denier/default/denyproductpagehandler at revision 2877836
 Created config checknothing/default/denyproductpagerequest at revision 2877837
 Created config rule/default/denyproductpage at revision 2877838
```
注意denyproductpage 规则中的下述内容:
```
 match: destination.labels["app"] == "details" && source.user == "cluster.local/ns/default/sa/bookinfo-productpage"
```
匹配到了来自details服务上的服务账户 “spiffe://cluster.local/ns/default/sa/bookinfo-productpage“的请求。

注意: 如果使用default之外的命名空间，请在source.user的值中使用自己的命名空间替换default。

该规则使用denier适配器来拒绝这些请求。适配器通常通过一个预先配置的状态码和消息来拒绝请求。状态码和消息是在denier适配器配置中指定的。
在浏览器中刷新productpage页面。

将会看到消息

“Error fetching product details! Sorry, product details are currently unavailable for this book.“

出现在页面的左下部分。这就验证了从productpage到details的访问是被禁止的。

清除

清除mixer配置：

  istioctl delete -f samples/bookinfo/kube/mixer-rule-deny-serviceaccount.yaml

如果不打算继续接下来的更多任务，可参考BookInfo cleanup的指南来关闭应用。

进阶阅读

了解更多关于Mixer 和 Mixer配置的内容。
探索全部的属性字典。
阅读参考指南来编写配置。
通过博客文章来理解Kubernetes网络策略和Istio访问控制策略的区别。