Linkerd Service Mesh 授权策略(Server & ServerAuthorization)

简介

Server 和 ServerAuthorization 是 Linkerd 中的两种策略资源，

用于控制对 mesh 应用程序的入站访问。

在 linkerd 安装期间，policyController.defaultAllowPolicy 字段用于指定当没有

Server 选择 pod 时的默认策略。此字段可以是以下之一：

all-unauthenticated: 允许所有请求。这是默认设置。
all-authenticated: 允许来自相同或不同集群（使用 multi-cluster）中的 mesh 客户端的请求。
cluster-authenticated: 允许来自同一集群中的 mesh 客户端的请求。
cluster-unauthenticated: 允许来自同一集群中的 mesh 和非 mesh 客户端的请求。
deny: 所有请求都被拒绝。（然后应创建 Policy 资源以允许服务之间的特定通信）。

可以通过在 pod spec 或其命名空间上设置注释 config.linkerd.io/default-inbound-policy 来覆盖此默认值。

为 pod & port 配置 Server 后，其默认行为是 deny 流量，

并且必须创建 ServerAuthorization 资源以允许 Server 上的流量。

系列

中文手册(https://hacker-linner.com)

Server

Server 在与 server 相同的命名空间中的一组 pod 上选择一个端口。

它通常选择 pod 上的单个端口，但在按名称引用端口时它可能会选择多个端口（例如 admin-http）。

虽然 Server 资源类似于 Kubernetes 的 Service，

但它增加了多个 Server 实例不能重叠的限制：它们不能选择相同的 pod/port 对。

Linkerd 附带了一个 admission controller，试图防止创建重叠的 server。

当服务器选择一个端口时，默认情况下会拒绝流量，

并且必须使用 ServerAuthorization 来授权 Server 选择的端口上的流量。

Spec

Server spec 可能包含以下顶级字段：

field	value
`podSelector`	`podSelector` 选择相同命名空间中的 `pod`。
`port`	端口名称或编号。仅考虑 `pod spec` 的 `ports` 中的端口。
`proxyProtocol`	为入站连接配置协议发现。取代 `config.linkerd.io/opaque-ports` annotation。必须是 `unknown`、`HTTP/1`、`HTTP/2`、`gRPC`、`opaque`、`TLS` 之一。如果未设置，则默认为 `unknown`。

podSelector

这与 Kubernetes 中的 labelSelector 字段相同。

属于此选择器的所有 pod 都将属于 Server 组。podSelector 对象必须恰好包含以下字段之一：

field	value
`matchExpressions`	`matchExpressions` 是 `label selector` 要求的列表。要求是 `AND` 组合。
`matchLabels`	`matchLabels` 是 `{key,value}` 对的映射。

有关更多详细信息，请参阅 Kubernetes LabelSelector reference。

https://kubernetes.io/docs/reference/kubernetes-api/common-definitions/label-selector/#LabelSelector

Server 示例

一个 Server 选择具有特定标签的 pod，使用 gRPC 作为 proxyProtocol。

apiVersion: policy.linkerd.io/v1beta1

kind: Server

metadata:

  namespace: emojivoto

  name: emoji-grpc

spec:

  podSelector:

    matchLabels:

      app: emoji-svc

  port: grpc

  proxyProtocol: gRPC

一个 Server 选择带有 matchExpressions 的 pod，HTTP/2 作为 proxyProtocol，在端口 8080 上。

apiVersion: policy.linkerd.io/v1beta1

kind: Server

metadata:

  namespace: emojivoto

  name: backend-services

spec:

  podSelector:

    matchExpressions:

    - {key: app, operator: In, values: [voting-svc, emoji-svc]}

    - {key: environment, operator: NotIn, values: [dev]}

  port: 8080

  proxyProtocol: "HTTP/2"

ServerAuthorization

ServerAuthorization 提供了一种向一个或多个 Server 授权流量的方法。

Spec

ServerAuthorization spec 必须包含以下顶级字段：

field	value
`client`	`client` 描述授权访问 `server` 的客户端。
`server`	`server` 在此授权适用的同一命名空间中标识 `Servers`。

Server

Server 对象必须包含以下字段之一：

field	value
`name`	按名称引用 `Server` 实例。
`selector`	`selector` 选择在同一命名空间中应用此授权的 `server`。

selector

这与 Kubernetes 中的 labelSelector 字段相同。

属于此选择器的所有服务器都将应用此授权。

selector 对象必须恰好包含以下字段之一：

field	value
`matchExpressions`	matchExpressions 是标签选择器要求的列表。要求是 `AND` 组合。
`matchLabels`	matchLabels 是 {key,value} 对的映射。

client

client 对象必须包含以下字段之一：

field	value
`meshTLS`	`meshTLS` 用于授权 `mesh` 客户端访问服务器
`unauthenticated`	授权未经身份验证的客户端访问服务器的布尔值。

或者，它还可以包含 networks 字段：

field	value
`networks`	限制此授权适用的客户端 `IP` 地址。如果未设置，服务器将选择默认值（通常为所有 `IP` 或集群的 `pod` 网络）。

meshTLS

meshTLS 对象必须恰好包含以下字段之一：

field	value
`unauthenticatedTLS`	一个布尔值，表示通信不需要客户端身份。这对于身份控制器非常重要，它必须终止来自尚未拥有证书的客户端的 TLS 连接。
`identities`	授权的代理身份字符串列表（通过 MTLS 提供）。`` 前缀可用于匹配域中的所有身份。`` 标识字符串表示所有身份验证客户端都已授权。
`serviceAccounts`	授权客户端 `serviceAccount` 的列表（通过 `MTLS` 提供）。

serviceAccount

serviceAccount 字段包含以下顶级字段：

field	value
`name`	`ServiceAccount` 的名称。
`namespace`	`ServiceAccount` 的命名空间。如果未设置，则使用授权的命名空间。

ServerAuthorization 示例

一个 ServerAuthorization 允许 mesh

客户端使用 *.emojivoto.serviceaccount.identity.linkerd.cluster.local 代理身份，

即 emojivoto 命名空间中的所有服务帐户。

apiVersion: policy.linkerd.io/v1beta1

kind: ServerAuthorization

metadata:

  namespace: emojivoto

  name: emoji-grpc

spec:

  # Allow all authenticated clients to access the (read-only) emoji service.

  server:

    selector:

      matchLabels:

        app: emoji-svc

  client:

    meshTLS:

      identities:

        - "*.emojivoto.serviceaccount.identity.linkerd.cluster.local"

一个允许任何未经身份验证的客户端的 ServerAuthorization。

apiVersion: policy.linkerd.io/v1beta1

kind: ServerAuthorization

metadata:

  namespace: emojivoto

  name: web-public

spec:

  server:

    name: web-http

  # Allow all clients to access the web HTTP port without regard for

  # authentication. If unauthenticated connections are permitted, there is no

  # need to describe authenticated clients.

  client:

    unauthenticated: true

    networks:

      - cidr: 0.0.0.0/0

      - cidr: ::/0

一个允许具有特定服务帐户的 mesh 客户端的 ServerAuthorization。

apiVersion: policy.linkerd.io/v1beta1

kind: ServerAuthorization

metadata:

  namespace: emojivoto

  name: prom-prometheus

spec:

  server:

    name: prom

  client:

    meshTLS:

      serviceAccounts:

        - namespace: linkerd-viz

          name: prometheus

公众号：黑客下午茶

巴特西

Linkerd Service Mesh 授权策略(Server & ServerAuthorization)

简介

系列

Server

Spec

podSelector

Server 示例

ServerAuthorization

Spec

Server

selector

client

meshTLS

serviceAccount

ServerAuthorization 示例

最新文章

热门文章