Linkerd Service Mesh 授权策略(Server & ServerAuthorization)
Linkerd Service Mesh 授权策略(Server & ServerAuthorization)
简介
Server 和 ServerAuthorization 是 Linkerd 中的两种策略资源， 用于控制对 mesh 应用程序的入站访问。
在 linkerd 安装期间，policyController.defaultAllowPolicy 字段用于指定当没有 Server 选择 pod 时的默认策略。此字段可以是以下之一：
all-unauthenticated: 允许所有请求。这是默认设置。all-authenticated: 允许来自相同或不同集群（使用multi-cluster）中的mesh客户端的请求。cluster-authenticated: 允许来自同一集群中的mesh客户端的请求。cluster-unauthenticated: 允许来自同一集群中的mesh和非mesh客户端的请求。deny: 所有请求都被拒绝。（然后应创建Policy资源以允许服务之间的特定通信）。
可以通过在 pod spec 或其命名空间上设置注释 config.linkerd.io/default-inbound-policy 来覆盖此默认值。
为 pod & port 配置 Server 后，其默认行为是 deny 流量， 并且必须创建 ServerAuthorization 资源以允许 Server 上的流量。
系列
中文手册(https://hacker-linner.com)
Server
Server 在与 server 相同的命名空间中的一组 pod 上选择一个端口。它通常选择 pod 上的单个端口，但在按名称引用端口时它可能会选择多个端口（例如 admin-http）。虽然 Server 资源类似于 Kubernetes 的 Service， 但它增加了多个 Server 实例不能重叠的限制：它们不能选择相同的 pod/port 对。 Linkerd 附带了一个 admission controller，试图防止创建重叠的 server。
当服务器选择一个端口时，默认情况下会拒绝流量， 并且必须使用 ServerAuthorization 来授权 Server 选择的端口上的流量。
Spec
Server spec 可能包含以下顶级字段：
podSelector 选择相同命名空间中的 pod。podSelector
这与 Kubernetes 中的 labelSelector 字段相同。属于此选择器的所有 pod 都将属于 Server 组。podSelector 对象必须恰好包含以下字段之一：
matchExpressions 是 label selector 要求的列表。要求是 AND 组合。有关更多详细信息，请参阅 Kubernetes LabelSelector reference。
- https://kubernetes.io/docs/reference/kubernetes-api/common-definitions/label-selector/#LabelSelector
Server 示例
一个 Server 选择具有特定标签的 pod，使用 gRPC 作为 proxyProtocol。
apiVersion: policy.linkerd.io/v1beta1
kind: Server
metadata:
namespace: emojivoto
name: emoji-grpc
spec:
podSelector:
matchLabels:
app: emoji-svc
port: grpc
proxyProtocol: gRPC
一个 Server 选择带有 matchExpressions 的 pod，HTTP/2 作为 proxyProtocol，在端口 8080 上。
apiVersion: policy.linkerd.io/v1beta1
kind: Server
metadata:
namespace: emojivoto
name: backend-services
spec:
podSelector:
matchExpressions:
- {key: app, operator: In, values: [voting-svc, emoji-svc]}
- {key: environment, operator: NotIn, values: [dev]}
port: 8080
proxyProtocol: "HTTP/2"
ServerAuthorization
ServerAuthorization 提供了一种向一个或多个 Server 授权流量的方法。
Spec
ServerAuthorization spec 必须包含以下顶级字段：
client 描述授权访问 server 的客户端。Server
Server 对象必须包含以下字段之一：
按名称引用 Server 实例。selector
这与 Kubernetes 中的 labelSelector 字段相同。属于此选择器的所有服务器都将应用此授权。 selector 对象必须恰好包含以下字段之一：
matchExpressions 是标签选择器要求的列表。要求是 AND 组合。client
client 对象必须包含以下字段之一：
meshTLS 用于授权 mesh 客户端访问服务器或者，它还可以包含 networks 字段：
限制此授权适用的客户端 IP 地址。如果未设置，服务器将选择默认值（通常为所有 IP 或集群的 pod 网络）。meshTLS
meshTLS 对象必须恰好包含以下字段之一：
一个布尔值，表示通信不需要客户端身份。这对于身份控制器非常重要，它必须终止来自尚未拥有证书的客户端的 TLS 连接。serviceAccount
serviceAccount 字段包含以下顶级字段：
ServiceAccount 的名称。ServerAuthorization 示例
一个 ServerAuthorization 允许 mesh 客户端使用 *.emojivoto.serviceaccount.identity.linkerd.cluster.local 代理身份， 即 emojivoto 命名空间中的所有服务帐户。
apiVersion: policy.linkerd.io/v1beta1
kind: ServerAuthorization
metadata:
namespace: emojivoto
name: emoji-grpc
spec:
# Allow all authenticated clients to access the (read-only) emoji service.
server:
selector:
matchLabels:
app: emoji-svc
client:
meshTLS:
identities:
- "*.emojivoto.serviceaccount.identity.linkerd.cluster.local"
一个允许任何未经身份验证的客户端的 ServerAuthorization。
apiVersion: policy.linkerd.io/v1beta1
kind: ServerAuthorization
metadata:
namespace: emojivoto
name: web-public
spec:
server:
name: web-http
# Allow all clients to access the web HTTP port without regard for
# authentication. If unauthenticated connections are permitted, there is no
# need to describe authenticated clients.
client:
unauthenticated: true
networks:
- cidr: 0.0.0.0/0
- cidr: ::/0
一个允许具有特定服务帐户的 mesh 客户端的 ServerAuthorization。
apiVersion: policy.linkerd.io/v1beta1
kind: ServerAuthorization
metadata:
namespace: emojivoto
name: prom-prometheus
spec:
server:
name: prom
client:
meshTLS:
serviceAccounts:
- namespace: linkerd-viz
name: prometheus腾讯云开发者
