如何在 Istio 中集成 SPIRE

访问 SPIRE 代理参考，配置 SPIRE 代理套接字路径，以匹配 Envoy SDS 定义的套接字路径。

socket_path = "/run/secrets/workload-spiffe-uds/socket"

通过部署 SPIFFE CSI 驱动，与节点内的 pod 共享 SPIRE 代理套接字。

下载 Istio 1.14 + 版本。

在将 SPIRE 部署到你的环境中，并验证所有的部署都处于 Ready 状态后，为 Ingress-gateway 以及 istio-proxy 安装 Istio 的定制补丁。

$ istioctl install --skip-confirmation -f - <<EOF
apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
metadata:
  namespace: istio-system
spec:
  profile: default
  meshConfig:
    trustDomain: example.org
  values:
    global:
    # This is used to customize the sidecar template
    sidecarInjectorWebhook:
      templates:
        spire: |
          spec:
            containers:
            - name: istio-proxy
              volumeMounts:
              - name: workload-socket
                mountPath: /run/secrets/workload-spiffe-uds
                readOnly: true
            volumes:
              - name: workload-socket
                csi:
                  driver: "csi.spiffe.io"                    
  components:
    ingressGateways:
      - name: istio-ingressgateway
        enabled: true
        label:
          istio: ingressgateway
        k8s:
          overlays:
            - apiVersion: apps/v1
              kind: Deployment
              name: istio-ingressgateway
              patches:
                - path: spec.template.spec.volumes.[name:workload-socket]
                  value:
                    name: workload-socket
                    csi:
                      driver: "csi.spiffe.io"
                - path: spec.template.spec.containers.[name:istio-proxy].volumeMounts.[name:workload-socket]
                  value:
                    name: workload-socket
                    mountPath: "/run/secrets/workload-spiffe-uds"
                    readOnly: true
EOF

这将与 Ingress Gateway 和将被注入工作负载 pod 的 sidecars 共享 spiffe-csi-driver，允许它们访问 SPIRE Agent 的 UNIX 域套接字。

使用 sidecar 注入，将 istio-proxy 容器注入到网格内的 pod 中。关于如何将自定义的 spire 模板应用到 istio-proxy 中的信息，请参见自定义模板。这使得 CSI 驱动能够在 sidecar 上安装 UDS。

检查 Ingress-gateway pod 状态。

$ kubectl get pods -n istio-system

NAME                                    READY   STATUS    RESTARTS   AGE
istio-ingressgateway-5b45864fd4-lgrxs   0/1     Running   0          17s
istiod-989f54d9c-sg7sn                  1/1     Running   0          23s

为 Ingress Gateway 生成一个条目，其中有一组选择器，如 pod 名称和 pod UID：

$ INGRESS_POD=$(kubectl get pod -l istio=ingressgateway -n istio-system -o jsonpath="{.items[0].metadata.name}" )
$ INGRESS_POD_UID=$(kubectl get pods -n istio-system $INGRESS_POD -o jsonpath='{.metadata.uid}')

获取 spire-server pod：

$ SPIRE_SERVER_POD=$(kubectl get pod -l app=spire-server -n spire -o jsonpath="{.items[0].metadata.name}" )

为节点上运行的 SPIRE 代理注册一个条目。

$ kubectl exec -n spire $SPIRE_SERVER_POD -- \
/opt/spire/bin/spire-server entry create \
    -spiffeID spiffe://example.org/ns/spire/sa/spire-agent \
    -selector k8s_psat:cluster:demo-cluster \
    -selector k8s_psat:agent_ns:spire \
    -selector k8s_psat:agent_sa:spire-agent \
    -node -socketPath /run/spire/sockets/server.sock

Entry ID         : d38c88d0-7d7a-4957-933c-361a0a3b039c
SPIFFE ID        : spiffe://example.org/ns/spire/sa/spire-agent
Parent ID        : spiffe://example.org/spire/server
Revision         : 0
TTL              : default
Selector         : k8s_psat:agent_ns:spire
Selector         : k8s_psat:agent_sa:spire-agent
Selector         : k8s_psat:cluster:demo-cluster

为 Ingress-gateway pod 注册一个条目。

$ kubectl exec -n spire $SPIRE_SERVER_POD -- \
/opt/spire/bin/spire-server entry create \
    -spiffeID spiffe://example.org/ns/istio-system/sa/istio-ingressgateway-service-account \
    -parentID spiffe://example.org/ns/spire/sa/spire-agent \
    -selector k8s:sa:istio-ingressgateway-service-account \
    -selector k8s:ns:istio-system \
    -selector k8s:pod-uid:$INGRESS_POD_UID \
    -dns $INGRESS_POD \
    -dns istio-ingressgateway.istio-system.svc \
    -socketPath /run/spire/sockets/server.sock

Entry ID         : 6f2fe370-5261-4361-ac36-10aae8d91ff7
SPIFFE ID        : spiffe://example.org/ns/istio-system/sa/istio-ingressgateway-service-account
Parent ID        : spiffe://example.org/ns/spire/sa/spire-agent
Revision         : 0
TTL              : default
Selector         : k8s:ns:istio-system
Selector         : k8s:pod-uid:63c2bbf5-a8b1-4b1f-ad64-f62ad2a69807
Selector         : k8s:sa:istio-ingressgateway-service-account
DNS name         : istio-ingressgateway.istio-system.svc
DNS name         : istio-ingressgateway-5b45864fd4-lgrxs

部署一个工作负载的例子。

$ istioctl kube-inject --filename @samples/security/spire/sleep-spire.yaml | kubectl apply -f -

请注意，工作负载将需要 SPIFFE CSI 驱动卷来访问 SPIRE 代理套接字。要做到这一点，你可以利用安装 Istio 部分的 spire pod 注释模板，或将 CSI 卷添加到工作负载的部署规范中。这两种方法在下面的示例片段中都有强调。

apiVersion: apps/v1
kind: Deployment
metadata:
name: sleep
spec:
replicas: 1
selector:
    matchLabels:
    app: sleep
template:
    metadata:
    labels:
        app: sleep
    # Injects custom sidecar template
    annotations:
        inject.istio.io/templates: "sidecar,spire"
    spec:
    terminationGracePeriodSeconds: 0
    serviceAccountName: sleep
    containers:
    - name: sleep
        image: curlimages/curl
        command: ["/bin/sleep", "3650d"]
        imagePullPolicy: IfNotPresent
        volumeMounts:
        - name: tmp
        mountPath: /tmp
        securityContext:
        runAsUser: 1000
    volumes:
    - name: tmp
        emptyDir: {}
    # CSI volume
    - name: workload-socket
        csi:
        driver: "csi.spiffe.io"

获取 pod 信息。

$ SLEEP_POD=$(kubectl get pod -l app=sleep -o jsonpath="{.items[0].metadata.name}")
$ SLEEP_POD_UID=$(kubectl get pods $SLEEP_POD -o jsonpath='{.metadata.uid}')

注册工作负载。

$ kubectl exec -n spire spire-server-0 -- \
/opt/spire/bin/spire-server entry create \
    -spiffeID spiffe://example.org/ns/default/sa/sleep \
    -parentID spiffe://example.org/ns/spire/sa/spire-agent \
    -selector k8s:ns:default \
    -selector k8s:pod-uid:$SLEEP_POD_UID \
    -dns $SLEEP_POD \
    -socketPath /run/spire/sockets/server.sock

使用 istioctl proxy-config secret 命令检索 sleep 的 SVID 身份文件。

$ istioctl proxy-config secret $SLEEP_POD -o json | jq -r \
'.dynamicActiveSecrets[0].secret.tlsCertificate.certificateChain.inlineBytes' | base64 --decode > chain.pem

检查证书并核实 SPIRE 是发行人。

$ openssl x509 -in chain.pem -text | grep SPIRE
Subject: C = US, O = SPIRE, CN = sleep-5f4d47c948-njvpk