Istio Security # TLS 配置

Istio对身份认证和授权鉴权提供了全面的支持；
Istio将身份认证分为最终用户认证和传输认证，Istio提供了双向TLS（没TLS）作为传输认证的全站解决方案；
1. 为每个服务提供强认证，认证身份和角色相结合，能够在不同的集群甚至不同云上进行互操作
2. 加密服务和服务之间、最终用户和服务之间的通信
3. 提供密钥管理系统，完成密钥和证书的生成、分发、轮转以及吊销操作

下面是所有关于TLS的配置：

• Gateway#Server#TLSOptions：最终用户访问的时候用的TLS相关配置；
• VirtualService#TLSRoute：路由时匹配TLS的相关信息；比如sniHosts；
• DestinationRule#TrafficPolicy#TLSSettings：The TLS configuration for connections to the upstream cluster.
• DestinationRule#TrafficPolicy#PortTrafficPolicy#TLSSettings
• Authentication Policy：配置服务网格的认证策略，包括最终用户认证和传输认证的配置；

Authentication Policy和DestinationRule的区别？

Authentication policy configures the service(s) itself, defines how the service accept requests.
DestinationRule configures all other services (clients), defines how they send requests (to the specified host in the rule)

ServiceRoleBinding#Subject#user指的是什么？

1. service运行的账号(kubernetes service account)：比如spiffe://cluster.local/ns/default/sa/bookinfo-reviews
2. 用户，如果Authentication Policy#PrincipalBinding为USE_ORIGIN，那过来的就是终端用户；

参考

Istio basic auth policy issue