如何使用启用 `mtls` 的基于 Istio 的服务？答案

【问题标题】：How to consume Istio-based Service that enables `mtls`?如何使用启用 `mtls` 的基于 Istio 的服务？
【发布时间】：2019-01-21 07:12:12
【问题描述】：

目前，我想引入 istio 作为我们微服务的服务网格框架。我曾经玩过它（mtls 方法建立安全通信。

但是，由于我们现有的客户（我没有任何控制权）使用我们的服务（将迁移到使用 istio）没有 istio，我仍然不太了解我们应该怎么做更好。

是否有任何教程或示例可以更好地提供我的用例？
非基于 istio 的客户端如何使用 mtls 来使用我们基于 istio 的服务？考虑使用基本的curl 命令来模拟这样的事情。
另外，我正在考虑向客户端分配一个特定的服务帐户（kubernetes、gcp iam 服务帐户等），以在调用我们的服务时限制客户端的权限。我对这些事情有很多疑问：gcp iam 服务帐户、istio、rbac、mtls、jwt 令牌等有助于保护我们的服务 API？

有什么建议吗？

【问题讨论】：

也许这个演示可以帮助你一点这可能对你有帮助slideshare.net/Pivotal/connecting-all-abstractions-with-istio
感谢您的链接。我已经从 istio 文档本身理解了这个概念。但是关于我们如何利用 gcp 服务帐户来精细控制对我们服务的精细访问的示例有点缺失（例如：假设客户端位于集群外部，因此超出我们的控制范围，我们如何告诉客户端：请使用此机制这是使用基本 http 客户端 buildinh 块通过身份验证机制调用我们的服务的示例（没有 istio））

【解决方案1】：

您想通过公共互联网上的 SSL 将第三方添加到您的网络之外的 Istio 网格？

我认为 Istio 并不是真正用于联合外部服务，但您可以在网络边缘放置一个 istio 入口网关代理，用于路由进出应用程序。

如果您正在构建微服务，那么您肯定有一个端点或网关，这对我来说似乎更明智，试试 Apigee 或其他东西。

【讨论】：