Wasm プラグイン

WasmPlugins は、WebAssembly フィルターを通じて Istio プロキシによって提供される機能を拡張するメカニズムを提供します。

実行順序 (Envoy のフィルターチェーンの一部として) は、フェーズと優先順位の設定によって決定され、ユーザー提供の WasmPlugins と Istio の内部フィルター間の複雑な相互作用の設定を可能にします。

例

OpenIDフローを実装し、Istio AuthN が消費する JWT で `Authorization` ヘッダーを設定する、イングレスゲートウェイにデプロイされた AuthN フィルター。

apiVersion: extensions.istio.io/v1alpha1
kind: WasmPlugin
metadata:
  name: openid-connect
  namespace: istio-ingress
spec:
  selector:
    matchLabels:
      istio: ingressgateway
  url: file:///opt/filters/openid.wasm
  sha256: 1ef0c9a92b0420cf25f7fe5d481b231464bc88f486ca3b9c83ed5cc21d2f6210
  phase: AUTHN
  pluginConfig:
    openid_server: authn
    openid_realm: ingress

これは最後の例と同じですが、OCIイメージを使用しています。

apiVersion: extensions.istio.io/v1alpha1
kind: WasmPlugin
metadata:
  name: openid-connect
  namespace: istio-ingress
spec:
  selector:
    matchLabels:
      istio: ingressgateway
  url: oci://private-registry:5000/openid-connect/openid:latest
  imagePullPolicy: IfNotPresent
  imagePullSecret: private-registry-pull-secret
  phase: AUTHN
  pluginConfig:
    openid_server: authn
    openid_realm: ingress

これは最後の例と同じですが、VM で環境変数を設定するために VmConfig を使用しています。

apiVersion: extensions.istio.io/v1alpha1
kind: WasmPlugin
metadata:
  name: openid-connect
  namespace: istio-ingress
spec:
  selector:
    matchLabels:
      istio: ingressgateway
  url: oci://private-registry:5000/openid-connect/openid:latest
  imagePullPolicy: IfNotPresent
  imagePullSecret: private-registry-pull-secret
  phase: AUTHN
  pluginConfig:
    openid_server: authn
    openid_realm: ingress
  vmConfig:
    env:
    - name: POD_NAME
      valueFrom: HOST
    - name: TRUST_DOMAIN
      value: "cluster.local"

これも最後の例と同じですが、Wasm モジュールは https 経由でプルされ、このプラグインリソースが変更されるたびに更新されます。

apiVersion: extensions.istio.io/v1alpha1
kind: WasmPlugin
metadata:
  name: openid-connect
  namespace: istio-ingress
spec:
  selector:
    matchLabels:
      istio: ingressgateway
  url: https://private-bucket/filters/openid.wasm
  imagePullPolicy: Always
  phase: AUTHN
  pluginConfig:
    openid_server: authn
    openid_realm: ingress
  vmConfig:
    env:
    - name: POD_NAME
      valueFrom: HOST
    - name: TRUST_DOMAIN
      value: "cluster.local"

3 つの WasmPlugins をデプロイし、`phase` と `priority` を使用して順序付ける、より複雑な例。(仮説的な) セットアップでは、`openid-connect` フィルターは OpenID Connect フローを実行してユーザーを認証し、リクエストの Authorization ヘッダーに署名付き JWT を書き込みます。これは Istio authn プラグインによって検証できます。次に、`acl-check` プラグインが起動し、JWT をポリシーサーバーに渡します。ポリシーサーバーは、以前に認証されたユーザーがシステムのどのファイルと関数を使用できるかについての情報を含む署名付きトークンで応答します。 `acl-check` フィルターはこのトークンをヘッダーに書き込みます。最後に、`check-header` フィルターはヘッダー内のトークンを検証し、トークンの内容 (許可された「関数」) がプラグインの設定と一致することを確認します。

結果のフィルターチェーンは次のようになります。-> openid-connect -> istio.authn -> acl-check -> check-header -> router

apiVersion: extensions.istio.io/v1alpha1
kind: WasmPlugin
metadata:
  name: openid-connect
  namespace: istio-ingress
spec:
  selector:
    matchLabels:
      istio: ingressgateway
  url: oci://private-registry:5000/openid-connect/openid:latest
  imagePullPolicy: IfNotPresent
  imagePullSecret: private-registry-pull-secret
  phase: AUTHN
  pluginConfig:
    openid_server: authn
    openid_realm: ingress

apiVersion: extensions.istio.io/v1alpha1
kind: WasmPlugin
metadata:
  name: acl-check
  namespace: istio-ingress
spec:
  selector:
    matchLabels:
      istio: ingressgateway
  url: oci://private-registry:5000/acl-check/acl:latest
  imagePullPolicy: Always
  imagePullSecret: private-registry-pull-secret
  phase: AUTHZ
  priority: 1000
  pluginConfig:
    acl_server: some_server
    set_header: authz_complete

apiVersion: extensions.istio.io/v1alpha1
kind: WasmPlugin
metadata:
  name: check-header
  namespace: istio-ingress
spec:
  selector:
    matchLabels:
      istio: ingressgateway
  url: oci://private-registry:5000/check-header:latest
  imagePullPolicy: IfNotPresent
  imagePullSecret: private-registry-pull-secret
  phase: AUTHZ
  priority: 10
  pluginConfig:
    read_header: authz_complete
    verification_key: a89gAzxvls0JKAKIJSBnnvvvkIO
    function: read_data

WasmPlugin

VmConfig

EnvVar

WasmPlugin.TrafficSelector

PluginType

PluginPhase

PullPolicy

EnvValueSource

FailStrategy