Руководство по установке#

    kind: Deployment
    apiVersion: apps/v1
    metadata:
      name: istio-ingressgateway
      labels:
        app: istio-ingressgateway
        istio: ingressgateway
    spec:
      selector:
        matchLabels:
          app: istio-ingressgateway
          istio: ingressgateway
      template:
        metadata:
          labels:
            app: istio-ingressgateway
            istio: ingressgateway
          annotations:
            prometheus.io/path: /stats/prometheus
            prometheus.io/port: '15020'
            prometheus.io/scrape: 'true'
            sidecar.istio.io/inject: 'false'
        spec:
          restartPolicy: Always
          schedulerName: default-scheduler
          terminationGracePeriodSeconds: 30
          securityContext: {}
          containers:
            - resources:
                limits:
                  cpu: <лимиты_по_cpu>
                  memory: <лимиты_по_памяти>
                requests:
                  cpu: <реквесты_по_cpu>
                  memory: <реквесты_по_памяти>
              readinessProbe:
                httpGet:
                  path: /healthz/ready
                  port: 15021
                  scheme: HTTP
                initialDelaySeconds: 1
                timeoutSeconds: 1
                periodSeconds: 2
                successThreshold: 1
                failureThreshold: 30
              terminationMessagePath: /dev/termination-log
              name: istio-proxy
              env:
                - name: PROXY_CONFIG
                  value: |
                    {"discoveryAddress":"<имя_сервиса_istiod_контрольной_панели>.<имя_проекта_контрольной_панели>.svc:15012"}
                - name: JWT_POLICY
                  value: third-party-jwt
                - name: PILOT_CERT_PROVIDER
                  value: istiod
                - name: CA_ADDR
                  value: '<имя_сервиса_istiod_контрольной_панели>.<имя_проекта_контрольной_панели>.svc:15012'
                - name: NODE_NAME
                  valueFrom:
                    fieldRef:
                      apiVersion: v1
                      fieldPath: spec.nodeName
                - name: POD_NAME
                  valueFrom:
                    fieldRef:
                      apiVersion: v1
                      fieldPath: metadata.name
                - name: POD_NAMESPACE
                  valueFrom:
                    fieldRef:
                      apiVersion: v1
                      fieldPath: metadata.namespace
                - name: INSTANCE_IP
                  valueFrom:
                    fieldRef:
                      apiVersion: v1
                      fieldPath: status.podIP
                - name: HOST_IP
                  valueFrom:
                    fieldRef:
                      apiVersion: v1
                      fieldPath: status.hostIP
                - name: SERVICE_ACCOUNT
                  valueFrom:
                    fieldRef:
                      apiVersion: v1
                      fieldPath: spec.serviceAccountName
                - name: ISTIO_META_WORKLOAD_NAME
                  value: istio-ingressgateway
                - name: ISTIO_META_OWNER
                  value: >-
                    kubernetes://apis/apps/v1/namespaces/<имя_проекта>/deployments/istio-ingressgateway
                - name: ISTIO_META_MESH_ID
                  value: cluster.local
                - name: TRUST_DOMAIN
                  value: cluster.local
                - name: ISTIO_META_UNPRIVILEGED_POD
                  value: 'true'
                - name: ISTIO_META_CLUSTER_ID
                  value: Kubernetes
              securityContext:
                capabilities:
                  drop:
                    - ALL
                privileged: false
                readOnlyRootFilesystem: true
                allowPrivilegeEscalation: false
              ports:
                - containerPort: 15021
                  protocol: TCP
                - containerPort: 8080
                  protocol: TCP
                - containerPort: 8443
                  protocol: TCP
                - containerPort: 31400
                  protocol: TCP
                - containerPort: 15443
                  protocol: TCP
                - name: http-test
                  containerPort: 15090
                  protocol: TCP
              imagePullPolicy: Always
              volumeMounts:
                - name: istio-envoy
                  mountPath: /etc/istio/proxy
                - name: istiod-ca-cert
                  mountPath: /var/run/secrets/istio
                - name: istio-token
                  readOnly: true
                  mountPath: /var/run/secrets/tokens
                - name: istio-data
                  mountPath: /var/lib/istio/data
                - name: socket
                  mountPath: /var/run/secrets/workload-spiffe-uds
                - name: podinfo
                  mountPath: /etc/istio/pod
                - name: ingressgateway-certs
                  readOnly: true
                  mountPath: /etc/istio/ingressgateway-certs
                - name: ingressgateway-ca-certs
                  readOnly: true
                  mountPath: /etc/istio/ingressgateway-ca-certs
              terminationMessagePolicy: File
              image: <ссылка_на_образ proxy из состава дистрибутива>
              args:
                - proxy
                - router
                - '--domain'
                - $(POD_NAMESPACE).svc.cluster.local
                - '--proxyLogLevel=warning'
                - '--proxyComponentLogLevel=misc:error'
                - '--log_output_level=default:info'
          volumes:
            - name: istiod-ca-cert
              configMap:
                name: istio-ca-root-cert
                defaultMode: 256
            - name: podinfo
              downwardAPI:
                items:
                  - path: labels
                    fieldRef:
                      apiVersion: v1
                      fieldPath: metadata.labels
                  - path: annotations
                    fieldRef:
                      apiVersion: v1
                      fieldPath: metadata.annotations
                defaultMode: 256
            - name: istio-envoy
              emptyDir: {}
            - name: istio-data
              emptyDir: {}
            - name: istio-token
              projected:
                sources:
                  - serviceAccountToken:
                      audience: istio-ca
                      expirationSeconds: 43200
                      path: istio-token
                defaultMode: 256
            - name: socket
              emptyDir: {}
            - name: ingressgateway-certs
              secret:
                secretName: istio-ingressgateway-certs
                defaultMode: 256
                optional: true
            - name: ingressgateway-ca-certs
              secret:
                secretName: istio-ingressgateway-ca-certs
                defaultMode: 256
                optional: true
          dnsPolicy: ClusterFirst

    kind: Deployment
    apiVersion: apps/v1
    metadata:
      name: istio-egressgateway
      labels:
        app: istio-egressgateway
        istio: egressgateway
    spec:
      selector:
        matchLabels:
          app: istio-egressgateway
          istio: egressgateway
      template:
        metadata:
          labels:
            app: istio-egressgateway
            istio: egressgateway
          annotations:
            prometheus.io/path: /stats/prometheus
            prometheus.io/port: '15020'
            prometheus.io/scrape: 'true'
            sidecar.istio.io/inject: 'false'
        spec:
          restartPolicy: Always
          schedulerName: default-scheduler
          terminationGracePeriodSeconds: 30
          containers:
            - resources:
                limits:
                  cpu: <лимиты_по_cpu>
                  memory: <лимиты_по_памяти>
                requests:
                  cpu: <реквесты_по_cpu>
                  memory: <реквесты_по_памяти>
              readinessProbe:
                httpGet:
                  path: /healthz/ready
                  port: 15021
                  scheme: HTTP
                initialDelaySeconds: 1
                timeoutSeconds: 1
                periodSeconds: 2
                successThreshold: 1
                failureThreshold: 30
              terminationMessagePath: /dev/termination-log
              name: istio-proxy
              env:
                - name: PROXY_CONFIG
                  value: |
                    {"discoveryAddress":"<имя_сервиса_istiod_контрольной_панели>.<имя_проекта_контрольной_панели>.svc:15012"}
                - name: JWT_POLICY
                  value: third-party-jwt
                - name: PILOT_CERT_PROVIDER
                  value: istiod
                - name: CA_ADDR
                  value: '<имя_сервиса_istio_контрольной_панели>.<имя_проекта_контрольной_панели>.svc:15012'
                - name: NODE_NAME
                  valueFrom:
                    fieldRef:
                      apiVersion: v1
                      fieldPath: spec.nodeName
                - name: POD_NAME
                  valueFrom:
                    fieldRef:
                      apiVersion: v1
                      fieldPath: metadata.name
                - name: POD_NAMESPACE
                  valueFrom:
                    fieldRef:
                      apiVersion: v1
                      fieldPath: metadata.namespace
                - name: INSTANCE_IP
                  valueFrom:
                    fieldRef:
                      apiVersion: v1
                      fieldPath: status.podIP
                - name: HOST_IP
                  valueFrom:
                    fieldRef:
                      apiVersion: v1
                      fieldPath: status.hostIP
                - name: SERVICE_ACCOUNT
                  valueFrom:
                    fieldRef:
                      apiVersion: v1
                      fieldPath: spec.serviceAccountName
                - name: ISTIO_META_WORKLOAD_NAME
                  value: istio-egressgateway
                - name: ISTIO_META_OWNER
                  value: >-
                    kubernetes://apis/apps/v1/namespaces/<имя-проекта>/deployments/istio-egressgateway
                - name: ISTIO_META_MESH_ID
                  value: cluster.local
                - name: TRUST_DOMAIN
                  value: cluster.local
                - name: ISTIO_META_UNPRIVILEGED_POD
                  value: 'true'
                - name: ISTIO_META_CLUSTER_ID
                  value: Kubernetes
              securityContext:
                capabilities:
                  drop:
                    - ALL
                privileged: false
                readOnlyRootFilesystem: true
                allowPrivilegeEscalation: false
              ports:
                - containerPort: 8080
                  protocol: TCP
                - containerPort: 8443
                  protocol: TCP
                - name: http-test
                  containerPort: 15090
                  protocol: TCP
              imagePullPolicy: Always
              volumeMounts:
                - name: istio-envoy
                  mountPath: /etc/istio/proxy
                - name: istiod-ca-cert
                  mountPath: /var/run/secrets/istio
                - name: istio-token
                  readOnly: true
                  mountPath: /var/run/secrets/tokens
                - name: istio-data
                  mountPath: /var/lib/istio/data
                - name: socket
                  mountPath: /var/run/secrets/workload-spiffe-uds
                - name: podinfo
                  mountPath: /etc/istio/pod
                - name: egressgateway-certs
                  readOnly: true
                  mountPath: /etc/istio/egressgateway-certs
                - name: egressgateway-ca-certs
                  readOnly: true
                  mountPath: /etc/istio/egressgateway-ca-certs
              terminationMessagePolicy: File
              image: <ссылка_на_образ>
              args:
                - proxy
                - router
                - '--domain'
                - $(POD_NAMESPACE).svc.cluster.local
                - '--proxyLogLevel=warning'
                - '--proxyComponentLogLevel=misc:error'
                - '--log_output_level=default:info'
          volumes:
            - name: istiod-ca-cert
              configMap:
                name: istio-ca-root-cert
                defaultMode: 256
            - name: podinfo
              downwardAPI:
                items:
                  - path: labels
                    fieldRef:
                      apiVersion: v1
                      fieldPath: metadata.labels
                  - path: annotations
                    fieldRef:
                      apiVersion: v1
                      fieldPath: metadata.annotations
                defaultMode: 256
            - name: istio-envoy
              emptyDir: {}
            - name: istio-data
              emptyDir: {}
            - name: istio-token
              projected:
                sources:
                  - serviceAccountToken:
                      audience: istio-ca
                      expirationSeconds: 43200
                      path: istio-token
                defaultMode: 256
            - name: socket
              emptyDir: {}
            - name: egressgateway-certs
              secret:
                secretName: istio-egressgateway-certs
                defaultMode: 256
                optional: true
            - name: egressgateway-ca-certs
              secret:
                secretName: istio-egressgateway-ca-certs
                defaultMode: 256
                optional: true
          dnsPolicy: ClusterFirst

    kind: Service
    apiVersion: v1
    metadata:
      name: ingressgateway
    spec:
      ports:
        - name: <имя порта>
          protocol: TCP
          port: <порт>
          targetPort: <порт>
      selector:
        app: <pod_label>
      type: ClusterIP

    kind: Service
    apiVersion: v1
    metadata:
      name: egressgateway
    spec:
      ports:
        - name: <имя порта>
          protocol: TCP
          port: <порт>
          targetPort: <порт>
      selector:
        app: <pod_label>
      type: ClusterIP

    kind: Secret
    apiVersion: v1
    metadata:
      name: istio-ingressgateway-certs
    data:
      tls.key: >-
      tls.crt: >-
    type: Opaque

    kind: Secret
    apiVersion: v1
    metadata:
      name: istio-ingressgateway-ca-certs
    data:
      ca-chain.cert.pem: >-
    type: Opaque

    kind: Secret
    apiVersion: v1
    metadata:
      name: istio-egressgateway-certs
    data:
      tls.key: >-
      tls.crt: >-
    type: Opaque

    kind: Secret
    apiVersion: v1
    metadata:
      name: istio-egressgateway-ca-certs
    data:
      ca-chain.cert.pem: >-
    type: Opaque

        apiVersion: apps/v1
        kind: Deployment
        spec:
          template:
            metadata:
              annotations:
                vault.hashicorp.com/agent-init-first: "true" # смонтировать секреты до запуска основного контейнера
                vault.hashicorp.com/agent-inject: "true" # обеспечивает инъекцию инит-контейнера и Sidecar vault-agent в Pods граничного прокси
                vault.hashicorp.com/namespace: <пространство в хранилище>
                vault.hashicorp.com/agent-inject-secret-chain.crt: "true" # vault.hashicorp.com/agent-inject-secret - статичная яасть, chain.crt - имя файла, который будет создан Sidecar vault-agent
                vault.hashicorp.com/agent-inject-secret-tls.crt: "true"
                vault.hashicorp.com/agent-inject-secret-tls.key: "true"
                vault.hashicorp.com/agent-inject-template-chain.crt: | #  где chain.crt - имя файла сертификата с цепочкой УЦ, который будет создан Sidecar vault-agent
                  {{- with secret "<пространство в хранилище>/<имя секрета>" -}}
                    {{ .Data.chain }}
                  {{- end }}
                vault.hashicorp.com/agent-inject-template-tls.crt: | # где tls.crt - имя файла сертификата, который будет создан Sidecar vault-agent
                  {{- with secret "<пространство в хранилище>/<имя секрета>" -}}
                    {{ .Data.crt }} #поле в секрете называется "crt"
                  {{- end }}
                vault.hashicorp.com/agent-inject-template-tls.key: | # где tls.key - имя файла приватного ключа, который будет создан Sidecar vault-agent
                  {{- with secret "<пространство в хранилище>/<имя секрета>" -}}
                    {{ .Data.key }} #поле в секрете называется "key"
                  {{- end }}
                vault.hashicorp.com/agent-pre-populate: "true" #обеспечить наличие секретов до запуска основного контейнера Istio-proxy
                vault.hashicorp.com/role: ciNNNNNNNN_xxx # роль в SecMan, получаемая при подключению к хранилищу
                vault.hashicorp.com/secret-volume-path: /etc/certs/some-path #директория, в которую будут помещены файлы из секрета
                vault.hashicorp.com/agent-limits-cpu: 500m # здесь и ниже лимиты и запросы ресурсов для vault-agent sidecar
                vault.hashicorp.com/agent-limits-mem: 128Mi
                vault.hashicorp.com/agent-requests-cpu: 250m
                vault.hashicorp.com/agent-requests-mem: 64Mi
                vault.hashicorp.com/agent-volumes-default-mode: "0400"
                vault.hashicorp.com/agent-inject-containers: istio-proxy # ограничиваем контейнеры, в которые монтируются секреты,
              labels
                secman-injector: enabled #обеспечивает подключение Pods к SecMan

apiVersion: apps/v1
kind: Deployment
spec:
  template:
    spec:
      containers:
      - name: istio-proxy
        volumeMounts:
        - mountPath: /mnt/ott-uds-socket
          name: ott-uds-socket
      volumes:
      - emptyDir:
          medium: Memory
        name: ott-uds-socket

kind: EnvoyFilter
apiVersion: networking.istio.io/v1alpha3
metadata:
  name: ott-authz-filter
spec:
  workloadSelector:
    labels:
      app: ott-egressgateway # Соответствует метке вашего Deployment IGEG, то есть применяется только туда
  configPatches:
    - applyTo: HTTP_FILTER
      match:
        context: GATEWAY
        listener:
          filterChain:
            filter:
              name: envoy.filters.network.http_connection_manager
          portNumber: 11443 # Указанный порт соответствует порту, определенному ресурсом  networking.istio.io/gateway - вы создали его, когда настраивали маршрутизацию через Egress
      patch:
        operation: INSERT_BEFORE
        value:
          name: envoy.filters.http.sbt_authz
          typed_config:
            '@type': "type.googleapis.com/udpa.type.v1.TypedStruct"
            typeUrl: type.googleapis.com/envoy.extensions.filters.http.sbt_authz.v3.SbtAuthz
            value:
              api: STANDARD
              authorize_only_request: true #  false - авторизуются как HTTP Request, так и HTTP Response, true - только запрос
              failure_mode_allow: false # Запрещает трафик при недоступности сервера авторизации
              transport_api_version: V3
              grpc_service:
                google_grpc:
                  stat_prefix: sbt_authz
                  target_uri: 'unix:/mnt/ott-uds-socket/ott.socket' # путь к файлу соответствует точке монтирования в Deployment
                timeout: 5s # значение as is на фактическую производительно влияние не оказывает но необходимо для корректного запуска, может быть скорректировано по результатам НТ
              sidecar_role: EGRESS # Флаг того, что фильтр устанавливается на Egress proxy, для Ingress - INGRESS соответственно
              with_request_body: # Параметр, указывающий фильтру, что в запрос к сервису авторизации также нужно добавлять тело HTTP запроса, если оно присутствует;
                allow_partial_message: false
                max_request_bytes: 100000 # данный параметр ограничит максимальный размер запроса. в случае превышения запрос не пройдет авторизацию или проверку целостности - указывайте его с запасом
                pack_as_bytes: false # Флаг того, что тело запроса передается в виде строки в сервис авторизации, в случае необходимости поддержки бинарного тела - true;

spec:
  configPatches:
    - applyTo: HTTP_FILTER
      match:
        context: GATEWAY
        listener:
          filterChain:
            filter:
              name: envoy.filters.network.http_connection_manager
          portNumber: 12443
      patch:
        operation: INSERT_BEFORE
        value:
          name: envoy.filters.http.ext_authz
          typed_config:
            '@type': >-
              type.googleapis.com/envoy.extensions.filters.http.ext_authz.v3.ExtAuthz
            grpc_service:
              google_grpc:
                stat_prefix: ext_authz
                target_uri: 'unix:/mnt/ott-uds-socket/ott.socket'
              timeout: 5s
            transport_api_version: V3
            failure_mode_allow: false # Запрещает трафик при недоступности сервера авторизации
            with_request_body:
              allow_partial_message: false
              max_request_bytes: 1000000
              pack_as_bytes: false
  workloadSelector:
    labels:
      app: ott-egressgateway

  volumes:
    - name: socket
      emptyDir: {}
...
      volumeMounts:
        - name: socket
          mountPath: /var/run/secrets/workload-spiffe-uds