istio.io/index.md at d7c4eb33f5de52024a1730d7cc5b2fe432f40c8f

9.9 KiB

Raw Blame History

title

description

weight

keywords

调试授权

展示如何调试授权功能。

debug

security

authorization

RBAC

这篇文章展示了如何调试 Istio 的授权。如果在本文的指导下你还是没有找到解决方案。

{{< idea_icon >}} 按照报告错误的说明，在您的电子邮件中包含群集状态存档会非常有用。

确保授权正常启用

rbacConfig 默认集群单例自定义资源在全局上控制授权功能。

运行下面的命令来展示已有的 RbacConfig:

{{< text bash >}} $ kubectl get rbacconfigs.rbac.istio.io --all-namespaces {{< /text >}}
确保 RbacConfig 只有一个实例，并且名为 default。否则 Istio 会关闭授权功能，并且忽略所有的授权策略。

{{< text plain >}} NAMESPACE NAME AGE default default 1d {{< /text >}}
如果有多余一个 RbacConfig 实例，将额外的 RbacConfig 实例删除，并且保证只有一个叫做 default 的实例。

确保 Pilot 接受授权策略

Pilot 将授权策略转换并且分发给代理。下面的步骤可以帮你确保 Pilot 正常工作：

运行下面的命令来导入 Pilot ControlZ:

{{< text bash >}} kubectl port-forward(kubectl -n istio-system get pods -l istio=pilot -o jsonpath='{.items[0].metadata.name}') -n istio-system 9876:9876 {{< /text >}}
确认你看到如下输出：

{{< text plain >}} Forwarding from 127.0.0.1:9876 -> 9876 {{< /text >}}
启动你的浏览器，并且通过 http://127.0.0.1:9876/scopez/ 访问 ControlZ 页面。
将 rbac 的输出级别改为 debug。
使用 Ctrl+C 来结束你在步骤1中启动的 port-forward 命令。
通过下面的命令来打印 Pilot 的日志，并且搜索 rbac：

注意: 你可以需要先删除然后重新下发你的授权策略，这样debug日志才能正常被生成。

{{< text bash >}} kubectl logs(kubectl -n istio-system get pods -l istio=pilot -o jsonpath='{.items[0].metadata.name}') -c discovery -n istio-system | grep rbac {{< /text >}}
检查输出并且验证：
- 没有错误。
- 有一个"built filter config for ..."的消息，它表示这些服务的过滤器被生成了。
例如你可能会看到和下面相似的内容：

{{< text plain >}} 2018-07-26T22:25:41.009838Z debug rbac building filter config for {sleep.foo.svc.cluster.local map[app:sleep pod-template-hash:3326367878] map[destination.name:sleep destination.namespace:foo destination.user:default]} 2018-07-26T22:25:41.009915Z info rbac no service role in namespace foo 2018-07-26T22:25:41.009957Z info rbac no service role binding in namespace foo 2018-07-26T22:25:41.010000Z debug rbac generated filter config: { } 2018-07-26T22:25:41.010114Z info rbac built filter config for sleep.foo.svc.cluster.local 2018-07-26T22:25:41.182400Z debug rbac building filter config for {productpage.default.svc.cluster.local map[pod-template-hash:2600844901 version:v1 app:productpage] map[destination.name:productpage destination.namespace:default destination.user:bookinfo-productpage]} 2018-07-26T22:25:41.183131Z debug rbac checking role app2-grpc-viewer 2018-07-26T22:25:41.183214Z debug rbac role skipped for no AccessRule matched 2018-07-26T22:25:41.183255Z debug rbac checking role productpage-viewer 2018-07-26T22:25:41.183281Z debug rbac matched AccessRule[0] 2018-07-26T22:25:41.183390Z debug rbac generated filter config: {policies:<key:"productpage-viewer" value:<permissions:<and_rules:<rules:<or_rules:<rules:<header:<name:":method" exact_match:"GET" > > > > > > principals:<and_ids:<ids:<any:true > > > > > } 2018-07-26T22:25:41.184407Z info rbac built filter config for productpage.default.svc.cluster.local {{< /text >}}

它表示 Pilot 生成了：
- 由于没有匹配上任何授权策略，为 sleep.foo.svc.cluster.local 生成了一个空的配置。并且 Istio 默认会拒绝所有访问这个服务的请求。
- 为 productpage.default.svc.cluster.local 生成了一个配置，并且 Istio 会允许任何人通过 GET 方法访问它。

确保 Pilot 成功的将授权策略分发给了代理

Pilot 将授权策略分发给代理。下面的步骤能帮助你确认这一步是正常工作的：

注意：这里的应用都假设你在使用 Bookinfo 程序，如果不是的话，你需要将-l app=productpage 替换为你的真实pod。

运行下面的命令来获取 productpage 服务的代理配置文件拷贝:

{{< text bash >}} kubectl exec (kubectl get pods -l app=productpage -o jsonpath='{.items[0].metadata.name}') -c istio-proxy -- curl localhost:15000/config_dump -s {{< /text >}}
检查日志并且确认：
- 日志中包含 envoy.filters.http.rbac 过滤器来在每一个请求来的时候实施授权策略。
- Istio 根据你更新的授权策略相对应的更新过滤器。
下面的输出表示 productpage 的代理启用了 envoy.filters.http.rbac 过滤器。里面的规则是所有人都能通过 GET 方法访问。shadow_rules 并没有被使用，你可以忽略它。

{{< text json >}} { "name": "envoy.filters.http.rbac", "config": { "rules": { "policies": { "productpage-viewer": { "permissions": [ { "and_rules": { "rules": [ { "or_rules": { "rules": [ { "header": { "exact_match": "GET", "name": ":method" } } ] } } ] } } ], "principals": [ { "and_ids": { "ids": [ { "any": true } ] } } ] } } }, "shadow_rules": { "policies": {} } } }, {{< /text >}}

确保代理正确执行授权策略

代理是最终执行授权策略的部分。下面的步骤可以帮助你确定代理是正常工作的。