mTLS

Istio ile karşılıklı TLS'i öğrenirsin.

mTLS

Karşılıklı TLS (mTLS) ile her iki taraf da sertifikasını gösterir: trafik şifrelenir ve her servisin kimliği (ServiceAccount'tan türetilen SPIFFE kimliği) doğrulanır. Istio sertifikaları otomatik verir ve döndürür. PeerAuthentication, mTLS'in zorunlu olup olmadığını belirler:

apiVersion: security.istio.io/v1
kind: PeerAuthentication
metadata:
  name: varsayilan
  namespace: magaza
spec:
  mtls:
    mode: STRICT        # PERMISSIVE: hem düz hem mTLS kabul

Geçişte önce PERMISSIVE ile başlanır; tüm istemciler mesh'e katılınca STRICT'e geçilir.

Yetkilendirme politikası

mTLS kimlikleri sayesinde AuthorizationPolicy "yalnızca web servisi api'nin /urunler yoluna GET yapabilir" gibi kurallar yazar:

apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
  name: api-erisim
  namespace: magaza
spec:
  selector:
    matchLabels: {app: api}
  action: ALLOW
  rules:
    - from:
        - source:
            principals: ["cluster.local/ns/magaza/sa/web"]
      to:
        - operation:
            methods: ["GET"]
            paths: ["/urunler*"]

Uygulama Zorunlu mTLS

Bir PeerAuthentication YAML'ı yaz: security.istio.io/v1; adı varsayilan, namespace'i magaza; spec.mtls.mode: STRICT.

Örnek çözümü göster

apiVersion: security.istio.io/v1
kind: PeerAuthentication
metadata:
  name: varsayilan
  namespace: magaza
spec:
  mtls:
    mode: STRICT

Kendini test et

STRICT moddayken mesh dışındaki (sidecar'sız) bir pod api'ye istek atarsa ne olur?
- Otomatik sidecar eklenir
- Uyarı yazılır ama geçer
- Bağlantı reddedilir
- Düz metin kabul edilir
Cevabı göster

Bağlantı reddedilir — STRICT yalnızca mTLS bağlantılarını kabul eder.

mTLS'i zorunlu yap.

spec:
  mtls:
    mode: ____

Cevabı göster

spec:
  mtls:
    mode: STRICT

Eşleştir.

mTLS

Karşılıklı kimlik ve şifreleme
PERMISSIVE

Geçiş modu
STRICT

Yalnızca mTLS
principals

Servis kimliği

Sıradaki ders: Özet - Service mesh

Deneyiminizi Geliştiriyoruz

Çerez Tercihleri

Kesinlikle Gerekli Çerezler

Analitik Çerezler