Istio セキュリティ.

Istio Security は Istio サービスメッシュのセキュリティサブシステムです。コントロールプレーン(istiod)が SPIFFE ベースの X.509 ID を各ワークロードへ発行し、Envoy サイドカーが Pod 間で mTLS を確立するよう構成することで、東西方向の平文通信を排除します。PeerAuthentication ポリシーは namespace やワークロード単位で STRICT・PERMISSIVE モードの mTLS を強制できます。AuthorizationPolicy は送信元 ID、ホスト、パス、メソッド、条件を組み合わせた allow/deny ルールを提供し、RequestAuthentication は発行者に対し JWT を検証します。運用上のリスクには PERMISSIVE 設定不備による平文許容、過度に緩い allow ポリシー、未対応の istiod CVE(例:CVE-2024-3727)があります。STRICT mTLS、デフォルト deny の AuthorizationPolicy、ポリシー変更の監査を組み合わせるのがベストプラクティスです。