mTLS

Karşılıklı TLS (mTLS) ile her iki taraf da sertifikasını gösterir: trafik şifrelenir ve her servisin kimliği (ServiceAccount'tan türetilen SPIFFE kimliği) doğrulanır. Istio sertifikaları otomatik verir ve döndürür. PeerAuthentication, mTLS'in zorunlu olup olmadığını belirler:

apiVersion: security.istio.io/v1
kind: PeerAuthentication
metadata:
  name: varsayilan
  namespace: magaza
spec:
  mtls:
    mode: STRICT        # PERMISSIVE: hem düz hem mTLS kabul

Geçişte önce PERMISSIVE ile başlanır; tüm istemciler mesh'e katılınca STRICT'e geçilir.

mTLS kimlikleri sayesinde AuthorizationPolicy "yalnızca web servisi api'nin /urunler yoluna GET yapabilir" gibi kurallar yazar:

apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
  name: api-erisim
  namespace: magaza
spec:
  selector:
    matchLabels: {app: api}
  action: ALLOW
  rules:
    - from:
        - source:
            principals: ["cluster.local/ns/magaza/sa/web"]
      to:
        - operation:
            methods: ["GET"]
            paths: ["/urunler*"]