聊聊 Linkerd Service Mesh 授权策略 (Server & ServerAuthorization)

[[439865]]

简介

Server 和 ServerAuthorization 是 Linkerd 中的两种策略资源， 用于控制对 mesh 应用程序的入站访问。

在 linkerd 安装期间，policyController.defaultAllowPolicy 字段用于指定当没有 Server 选择 pod 时的默认策略。此字段可以是以下之一：

• all-unauthenticated: 允许所有请求。这是默认设置。
• all-authenticated: 允许来自相同或不同集群(使用 multi-cluster)中的 mesh 客户端的请求。
• cluster-authenticated: 允许来自同一集群中的 mesh 客户端的请求。
• cluster-unauthenticated: 允许来自同一集群中的 mesh 和非 mesh 客户端的请求。
• deny: 所有请求都被拒绝。(然后应创建 Policy 资源以允许服务之间的特定通信)。

可以通过在 pod spec 或其命名空间上设置注释 config.linkerd.io/default-inbound-policy 来覆盖此默认值。

为 pod & port 配置 Server 后，其默认行为是 deny 流量， 并且必须创建 ServerAuthorization 资源以允许 Server 上的流量。

系列

中文手册(https://hacker-linner.com)

Server

Server 在与 server 相同的命名空间中的一组 pod 上选择一个端口。它通常选择 pod 上的单个端口，但在按名称引用端口时它可能会选择多个端口(例如 admin-http)。虽然 Server 资源类似于 Kubernetes 的 Service， 但它增加了多个 Server 实例不能重叠的限制：它们不能选择相同的 pod/port 对。 Linkerd 附带了一个 admission controller，试图防止创建重叠的 server。

当服务器选择一个端口时，默认情况下会拒绝流量， 并且必须使用 ServerAuthorization 来授权 Server 选择的端口上的流量。

Spec

Server spec 可能包含以下顶级字段：

podSelector

这与 Kubernetes 中的 labelSelector 字段相同。属于此选择器的所有 pod 都将属于 Server 组。podSelector 对象必须恰好包含以下字段之一：

有关更多详细信息，请参阅 Kubernetes LabelSelector reference。

• https://kubernetes.io/docs/reference/kubernetes-api/common-definitions/label-selector/#LabelSelector

Server 示例

一个 Server 选择具有特定标签的 pod，使用 gRPC 作为 proxyProtocol。

apiVersion: policy.linkerd.io/v1beta1 
kind: Server 
metadata: 
  namespace: emojivoto 
  name: emoji-grpc 
spec: 
  podSelector: 
    matchLabels: 
      app: emoji-svc 
  port: grpc 
  proxyProtocol: gRPC 

一个 Server 选择带有 matchExpressions 的 pod，HTTP/2 作为 proxyProtocol，在端口 8080 上。

apiVersion: policy.linkerd.io/v1beta1 
kind: Server 
metadata: 
  namespace: emojivoto 
  name: backend-services 
spec: 
  podSelector: 
    matchExpressions: 
    - {key: app, operator: In, values: [voting-svc, emoji-svc]} 
    - {key: environment, operator: NotIn, values: [dev]} 
  port: 8080 
  proxyProtocol: "HTTP/2" 

ServerAuthorization

ServerAuthorization 提供了一种向一个或多个 Server 授权流量的方法。

Spec

ServerAuthorization spec 必须包含以下顶级字段：

Server

Server 对象必须包含以下字段之一：

selector

这与 Kubernetes 中的 labelSelector 字段相同。属于此选择器的所有服务器都将应用此授权。 selector 对象必须恰好包含以下字段之一：

client

client 对象必须包含以下字段之一：

或者，它还可以包含 networks 字段：

meshTLS

meshTLS 对象必须恰好包含以下字段之一：

serviceAccount

serviceAccount 字段包含以下顶级字段：

ServerAuthorization 示例

一个 ServerAuthorization 允许 mesh 客户端使用 *.emojivoto.serviceaccount.identity.linkerd.cluster.local 代理身份， 即 emojivoto 命名空间中的所有服务帐户。

apiVersion: policy.linkerd.io/v1beta1 
kind: ServerAuthorization 
metadata: 
  namespace: emojivoto 
  name: emoji-grpc 
spec: 
  # Allow all authenticated clients to access the (read-only) emoji service. 
  server: 
    selector: 
      matchLabels: 
        app: emoji-svc 
  client: 
    meshTLS: 
      identities: 
        - "*.emojivoto.serviceaccount.identity.linkerd.cluster.local" 

一个允许任何未经身份验证的客户端的 ServerAuthorization。

apiVersion: policy.linkerd.io/v1beta1 
kind: ServerAuthorization 
metadata: 
  namespace: emojivoto 
  name: web-public 
spec: 
  server: 
    name: web-http 
  # Allow all clients to access the web HTTP port without regard for 
  # authentication. If unauthenticated connections are permitted, there is no 
  # need to describe authenticated clients. 
  client: 
    unauthenticated: true 
    networks: 
      - cidr: 0.0.0.0/0 
      - cidr: ::/0 

一个允许具有特定服务帐户的 mesh 客户端的 ServerAuthorization。

apiVersion: policy.linkerd.io/v1beta1 
kind: ServerAuthorization 
metadata: 
  namespace: emojivoto 
  name: prom-prometheus 
spec: 
  server: 
    name: prom 
  client: 
    meshTLS: 
      serviceAccounts: 
        - namespace: linkerd-viz 
          name: prometheus