服务网格安全体系

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22

  secrets: [] # 静态定义指定的secret列表，定义时，以下三种方式任选其一
  - name:  # 用于引用此 secret的唯一标识
    tls_certificate: {} # 数字证书
      certificate_chain: {} # tls证书链
        filename: # 保存证书信息的文件，也可使用inline_bytes inline_string 
      private_key: # TLS私钥
      password: # 私钥信息的加解密密钥，未指定时需要私钥文件处于未加密状态
  
  - name: 
    session_ticket_keys: {} # 定义用于加密和解密tls会话票证的密钥
      keys: [] # 密钥列表，未指定时将使用内生成和管理的秘钥
      - filename:
      - inline_string:
  
  - name: 
    validation_context: {} # 对等证书验证机制的相关配置
      trust_ca: {} # 信任的ca证书，未指定时不会验证对端证书
      crl: {} # 可选的PEM格式的证书吊销列表，如果指定，Envoy将验证此CRL是否未撤销所提供的对等证书
      verify_certificate_spki: [] # base64的SHA-256哈希码，用于验证DER编码证书的公钥是与列表项之一匹配
      verify_certificate_hash: [] # base64的SHA-256哈希码，用于验证DER编码证书是否与列表项之一匹配
      allow_expired_certificate: # 布尔值，如果指定，Envoy将不会拒绝过期的证书。
      match_subject_alt_names: [] # subject备用名称匹配器的可选列表。envoy将验证所提供证书的“使用者备用名称”是否与指定的匹配项之一匹配。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24

listeners:
- name: ..
  ..
  filter_chains:
  - filters: []
    ..
    transport_socket: # 当前过滤器链中的tls
      name:
      typed_config:
        "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.DownstreamTlsContext
        common_tls_context: # 当前过滤器的tls上下文
          tls_params: {}   
          tls_certificates: []  # tls证书列表 
            - certificate_chain: 
                filename: 
                inline_string:
              private_key: {}
            tls_certificate_sds_secret_configs: 
              name: {} # secret的唯一标识符，可以fqdn UUID SPKI或sha256格式
              sds_config: {} # xds api源
            validation_context: {} # How to validate peer certificates.
            validation_context_sds_secret_config: {}
        require_client_certificate: # boolval ture,Envoy将拒绝没有有效客户端证书的连接。
        session_ticket_keys: # tls会话票据相关设置

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23

clusters:
- name:
  transport_socket:
    name:
    typed_config:
      "@type": type.googleapis.com/envoy.extensions.transport_sockets.tls.v3.UpstreamTlsContext
      common_tls_context:
        tls_params: {} # tls协议版本和密码套件等
        tls_certificates: []  # tls证书列表
        - certificate_chain: {} # 证书链
            filename: 
          private_key: {} # tls密钥
            filename: 
        
        tls_certificate_sds_secret_configs: [] # 通过静态资源中定义的secret或SDS获取secret
        - name: # secret唯一标识，可以FQDN | UUID | SPKI | sha256 仅指定name时，表示加载static_resources中的secret
          sds_config: {} # xds api 配置源
        
        validation_context_sds_secret_config: {} #通过sds获取验证上下文
        - name:
          sds_config: {}
      allow_renegotiation: boolVal # 如果为true，则将允许服务器启动的TLS重新协商。
      max_session_keys: {} # 为了恢复会话而存储的最大会话密钥数, 默认值为1，将此值设置为0将禁用会话恢复