istio 的细粒度授权解决方案答案

【问题标题】：fine grained authorisation solution for istioistio 的细粒度授权解决方案
【发布时间】：2019-03-28 15:34:19
【问题描述】：

背景

因此，在从单体应用程序混乱到微服务的过程中，我们决定在谷歌云上（同样）沿着 k8s 路线（已经获胜），我们正在寻找身份验证和授权解决方案。

所以我们正在考虑使用 Istio，RBAC 元素看起来像 WIN，并且允许我们在应用程序之外保持授权以及其他细节。

还有，云 IAP。亲爱的，我们不需要关心身份验证，只需通过云 iam 授予用户（所有用户都已经拥有 g-suite 帐户）访问权限。

问题

我们如何为用户管理和注入身份验证数据？ IAP 允许我们授予对项目的访问权限，并通过 JWT 呈现数据（到目前为止非常完美），但我们无法添加自定义应用程序权限。

我们希望能够对端点和组/角色使用细粒度的权限来授予这些权限。

经过大量搜索，我找不到任何解决方案，这似乎是一个非常普遍的要求。我错过了什么（我看错了吗？）。

【问题讨论】：

【解决方案1】：

我能想到几个解决方案：

Istio（就像你提到的那样）。其中支持：
- Transport Authentication
- End-user Authentication。 Here's an example on how to use it。
- 细粒度授权可以使用Istio authorization
Consul 和 Kubernetes 并使用 ACLs 和 ACL 令牌。令牌也可以由Vault 管理。在撰写本文时，它还没有与 OpenID 或 Oauth2 提供程序集成。 Consul 将通过ACLs

【讨论】：

谢谢里科。我喜欢 istio 的外观（出于多种原因），但是，我如何获得细粒度的授权？使用：G-suite + Google cloud IAP + Google cloud IAM + Istio，我们可以控制对整个应用程序（项目）的访问，但我不知道我们将如何（或在哪里）定义我们自己的权限，并且我们将如何注入 JWT，以便 istio 可以使用它们来授权请求。
这个答案实际上并没有回答原始问题，但它被标记为正确。
在答案中添加了更多内容。基本上，您可以使用 Istio 授权或 Consul ACL 进行更细粒度的控制。这个问题有点宽泛，有几种方法可以根据您使用的 G-suite、IAM 等来构建系统。