Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
中文
Entry № 559

Istio 安全

Istio 安全 是什么?

Istio 安全Istio 服务网格的安全特性集合:基于 SPIFFE 的工作负载身份、自动双向 TLS,以及用于细粒度访问控制的 AuthorizationPolicy 和 RequestAuthentication。

Istio Security 是 Istio 服务网格的安全子系统。控制平面(istiod)为每个工作负载签发基于 SPIFFE 的 X.509 身份证书,并配置 Envoy sidecar 在 Pod 之间建立双向 TLS,消除集群内东西向明文流量。PeerAuthentication 策略可在命名空间或工作负载级别以 STRICT 或 PERMISSIVE 模式强制 mTLS。AuthorizationPolicy 提供基于源身份、主机、路径、方法和条件的允许/拒绝规则;RequestAuthentication 则针对发行方校验 JWT。运维风险包括 PERMISSIVE 模式配置不当导致明文流量、过于宽松的允许策略,以及未修补的 istiod CVE(如 CVE-2024-3727)。最佳实践是结合 STRICT mTLS、默认拒绝的 AuthorizationPolicy,以及对策略变更的审计。

● 示例

  1. 01

    在 prod 命名空间设置 PeerAuthentication mtls.mode=STRICT,强制所有 Pod 使用 mTLS。

  2. 02

    默认拒绝的 AuthorizationPolicy 显式允许 reviews-service 调用 ratings-service。

● 常见问题

Istio 安全 是什么?

Istio 服务网格的安全特性集合:基于 SPIFFE 的工作负载身份、自动双向 TLS,以及用于细粒度访问控制的 AuthorizationPolicy 和 RequestAuthentication。 它属于网络安全的 云安全 分类。

Istio 安全 是什么意思?

Istio 服务网格的安全特性集合:基于 SPIFFE 的工作负载身份、自动双向 TLS,以及用于细粒度访问控制的 AuthorizationPolicy 和 RequestAuthentication。

Istio 安全 是如何工作的?

Istio Security 是 Istio 服务网格的安全子系统。控制平面(istiod)为每个工作负载签发基于 SPIFFE 的 X.509 身份证书,并配置 Envoy sidecar 在 Pod 之间建立双向 TLS,消除集群内东西向明文流量。PeerAuthentication 策略可在命名空间或工作负载级别以 STRICT 或 PERMISSIVE 模式强制 mTLS。AuthorizationPolicy 提供基于源身份、主机、路径、方法和条件的允许/拒绝规则;RequestAuthentication 则针对发行方校验 JWT。运维风险包括 PERMISSIVE 模式配置不当导致明文流量、过于宽松的允许策略,以及未修补的 istiod CVE(如 CVE-2024-3727)。最佳实践是结合 STRICT mTLS、默认拒绝的 AuthorizationPolicy,以及对策略变更的审计。

如何防御 Istio 安全?

针对 Istio 安全 的防御通常结合技术控制与运营实践,详见上方完整定义。

Istio 安全 还有哪些其他名称?

常见的别称包括: Istio mTLS, Istio AuthorizationPolicy。

● 相关术语

● 参见