認可ポリシー

Istioの認可ポリシーは、メッシュ内のワークロードへのアクセス制御を可能にします。

認可ポリシーは、アクセス制御のためにCUSTOM、DENY、およびALLOWアクションをサポートしています。ワークロードでCUSTOM、DENY、およびALLOWアクションが同時に使用される場合、CUSTOMアクションが最初に評価され、次にDENYアクション、最後にALLOWアクションが評価されます。評価は、以下のルールによって決定されます。

1. リクエストに一致するCUSTOMポリシーがある場合、評価を行い、評価結果が拒否の場合はリクエストを拒否します。
2. リクエストに一致するDENYポリシーがある場合、リクエストを拒否します。
3. ワークロードに対するALLOWポリシーがない場合、リクエストを許可します。
4. いずれかのALLOWポリシーがリクエストに一致する場合、リクエストを許可します。
5. リクエストを拒否します。

Istioの認可ポリシーは、リクエストをログに記録するかどうかを決定するAUDITアクションもサポートしています。AUDITポリシーは、リクエストがワークロードに対して許可されるか拒否されるかには影響しません。リクエストは、CUSTOM、DENY、およびALLOWアクションのみに基づいて許可または拒否されます。

リクエストに一致するAUDITポリシーがワークロードにある場合、リクエストは監査されるべきであると内部的にマークされます。監査の決定を実際に実行し、監査の動作を完了するためには、別のプラグインを設定し、有効にする必要があります。そのようなサポートプラグインが有効になっていない場合、リクエストは監査されません。

以下はIstioの認可ポリシーの例です。

action を ALLOW に設定して、許可ポリシーを作成します。デフォルトのアクションは ALLOW ですが、ポリシーで明示的に指定することは有用です。

次のリクエストを許可します。

• サービスアカウント cluster.local/ns/default/sa/sleep または
• 名前空間 test

次のワークロードへのアクセス

• /info のプレフィックスを持つパスに対する GET メソッド、または
• /data パスの POST メソッド。

リクエストが https://# によって発行された有効なJWTトークンを持っている場合。

その他のリクエストはすべて拒否されます。

apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
  name: httpbin
  namespace: foo
spec:
  action: ALLOW
  rules:
  - from:
    - source:
        principals: ["cluster.local/ns/default/sa/sleep"]
    - source:
        namespaces: ["test"]
    to:
    - operation:
        methods: ["GET"]
        paths: ["/info*"]
    - operation:
        methods: ["POST"]
        paths: ["/data"]
    when:
    - key: request.auth.claims[iss]
      values: ["https://#"]

以下は、action を DENY に設定して拒否ポリシーを作成する別の例です。dev 名前空間からのリクエストを、foo 名前空間のすべてのワークロードへの POST メソッドに対して拒否します。

apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
  name: httpbin
  namespace: foo
spec:
  action: DENY
  rules:
  - from:
    - source:
        namespaces: ["dev"]
    to:
    - operation:
        methods: ["POST"]

以下は、action を DENY に設定して拒否ポリシーを作成する別の例です。foo 名前空間のすべてのワークロードのポート 8080 での POST メソッドを持つすべてのリクエストを拒否します。

apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
  name: httpbin
  namespace: foo
spec:
  action: DENY
  rules:
  - to:
    - operation:
        methods: ["POST"]
        ports: ["8080"]

このルールがTCPトラフィックに適用される場合、method フィールド（すべてのHTTPベースの属性と同様に）を処理できません。DENY ルールの場合、欠落した属性は一致として扱われます。これは、上記の例ではポート 8080 のすべてのTCPトラフィックが拒否されることを意味します。ports の一致を削除すると、すべてのTCPトラフィックが拒否されます。したがって、特にHTTP属性を使用する場合は、常に DENY ポリシーを特定のポートにスコープすることを推奨します TCPポートの認可ポリシー。

次の認可ポリシーは、action を AUDIT に設定します。/user/profile のプレフィックスを持つパスへの GET リクエストを監査します。

apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
  namespace: ns1
  name: anyname
spec:
  selector:
    matchLabels:
      app: myapi
  action: AUDIT
  rules:
  - to:
    - operation:
        methods: ["GET"]
        paths: ["/user/profile/*"]

認可ポリシーのスコープ（ターゲット）は、"metadata/namespace" とオプションの selector によって決定されます。

• "metadata/namespace" は、ポリシーが適用される名前空間を示します。ルート名前空間に設定されている場合、ポリシーはメッシュ内のすべての名前空間に適用されます。
• ワークロードの selector を使用して、ポリシーが適用される場所をさらに制限できます。

たとえば、次の認可ポリシーは、foo 名前空間のすべてのワークロードに適用されます。何も許可せず、事実上、foo 名前空間のワークロードへのすべてのリクエストを拒否します。

apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
 name: allow-nothing
 namespace: foo
spec:
  {}

次の認可ポリシーは、foo 名前空間のワークロードへのすべてのリクエストを許可します。

apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
 name: allow-all
 namespace: foo
spec:
 rules:
 - {}

次の認可ポリシーは、bar 名前空間のラベル app: httpbin を含むワークロードに適用されます。何も許可せず、選択したワークロードへのすべてのリクエストを事実上拒否します。

apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
  name: allow-nothing
  namespace: bar
spec:
  selector:
    matchLabels:
      app: httpbin

次の認可ポリシーは、メッシュ内のすべての名前空間でラベル version: v1 を含むワークロードに適用されます。（ルート名前空間が istio-system に構成されていると仮定します）。

apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
 name: allow-nothing
 namespace: istio-system
spec:
 selector:
   matchLabels:
     version: v1

次の例は、実験的なアノテーション istio.io/dry-run を使用して、ポリシーを実際に適用せずにドライランで認可ポリシーを設定する方法を示します。

ドライランアノテーションを使用すると、認可ポリシーを本番トラフィックに適用する前に、その効果をよりよく理解できます。これにより、間違った認可ポリシーによって引き起こされる本番トラフィックの中断のリスクを軽減できます。詳細については、ドライランタスクを参照してください。

apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
  name: dry-run-example
  annotations:
    "istio.io/dry-run": "true"
spec:
  selector:
    matchLabels:
      app: httpbin
  action: DENY
  rules:
  - to:
    - operation:
        paths: ["/headers"]

AuthorizationPolicy

Rule

ソース

principals: ["admin", "dev"]
namespaces: ["prod", "test"]
notIpBlocks: ["203.0.113.4"]

オペレーション

hosts: ["*.example.com"]
methods: ["GET", "HEAD"]
notPaths: ["/admin*"]

条件

AuthorizationPolicy.ExtensionProvider

Rule.From

Rule.To

AuthorizationPolicy.Action

apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
  name: ext-authz
  namespace: istio-system
spec:
  selector:
    matchLabels:
      app: istio-ingressgateway
  action: CUSTOM
  provider:
    name: "my-custom-authz"
  rules:
  - to:
    - operation:
        paths: ["/admin/*"]