Istio：最终用户身份验证中的 auth url 支持答案

【问题标题】：Istio: auth url support in end user authenticationIstio：最终用户身份验证中的 auth url 支持
【发布时间】：2019-06-06 19:23:17
【问题描述】：

我希望在 istio+kubernetes 上进行 3 条腿 oauth。我没有找到将未经身份验证的请求路由到执行身份验证并将流量路由回目标服务的身份验证代理服务的方法。我已经使用以下注释使用nginx kubernetes 入口控制器完成了此操作 -

nginx.ingress.kubernetes.io/auth-url //请求转发到的Auth url nginx.ingress.kubernetes.io/auth-signin //上面返回401时请求路由到的登录页面

我在 Istio 中没有找到等效的。我检查了documentation，它说除了 jwt 之外它还支持自定义身份验证，但是我没有找到任何这样的支持。

【问题讨论】：

【解决方案1】：

回答我自己的问题。在这一点上，我已经想出唯一的方法是通过 istio 上的EnvoyFilter。这允许我们编写一个自定义的lua filter 来将未经身份验证的请求路由到可以执行 3-legged oauth 流的 oauth 代理。

请求控制流程是

客户端 --> 入口网关 --> istio-proxy sidecar --> 特使过滤器 --> 目标

过滤器能够进行 http 调用和操作标头，这符合此要求。

编辑：有关它的详细信息是here。

【讨论】：