在 istio 中处理用户授权

Question

I have an auth service that checks the validity of jwt token in req.headers.Authorization , and i have another API service to do a CRUD operation for a customer entity, that will require a valid JWT on every request to said API service. 所有这些都包裹在kubernetes cluster + istio中。 我目前正在做的是这样的

1. 客户端请求POST /customer使用headers.Authorization作为标头。授权
2. 然后后端的POST /customer API 服务将通过 JWT 与auth service通信以检查其有效性
3. 如果它无效，则返回一些令牌错误响应
4. 如果有效，则进行创建客户操作，并将数据存入数据库

虽然这工作正常，但我发现我正在对每个端点重复此auth checks ，我当然可以在同一服务上设置一个中间件，该中间件将通过在传入请求到达controller之前拦截传入请求来进行检查。

我想知道是否有可能在istio中实现这种middleware方法，而不是在服务本身上编写它。

我想达到什么

1. 客户端请求POST /customer使用headers.Authorization作为标头。授权
2. istio sidecar(?)/ingress gateway将捕获此请求，并将其发送（重定向）到 auth 服务进行检查，然后再将其传递到目的地
3. 如果它无效，则返回一些令牌错误响应
4. 如果有效，则将其传递到其原始目的地

istio 能做到这一点吗？ 我已经阅读了关于Authorization的 istio 文档，但我认为它没有解释我想要在这里实现的目标

Answer 1

在 Istio 中使用 JWT 进行最终用户身份验证绝对是可能的。 您可能正在寻找这篇解释 JWT 使用 Istio 进行身份验证和授权的文章。

请参阅https://istio.io/latest/docs/tasks/security/authorization/authz-jwt/

Answer 2

我相信，您想要实现的目标可以通过request routing实现。 基本上，基于 header 聊天请求，并将其路由到服务。