Идентификатор приложения и адаптер доступа для тайм-аута ввода-вывода Istio Mixer - PullRequest
Новая
       76

Идентификатор приложения и адаптер доступа для тайм-аута ввода-вывода Istio Mixer

0 голосов
/ 11 января 2020

В соответствии с документацией по установке https://github.com/ibm-cloud-security/app-identity-and-access-adapter. Кажется, все установлено правильно (хотя мне пришлось обновить файлы шаблонов oid c -config.yaml и policy.yaml, чтобы избежать ошибок с шаблоном discoveryUrl.

Я использую примеры политик для OID C из примеров папок, обновите мои URL и секрет клиента.

В микшере я получаю следующую ошибку: 

2020-01-11T16:26:43.920036Z info    grpc: addrConn.createTransport failed to connect to {svc-appidentityandaccessadapter:47304 0  <nil>}. Err :connection error: desc = "transport: Error while dialing dial tcp 10.43.152.188:47304: i/o timeout". Reconnecting...
2020-01-11T16:26:43.920168Z info    base.baseBalancer: handle SubConn state change: 0xc000646bc0, TRANSIENT_FAILURE
2020-01-11T16:26:44.920497Z info    base.baseBalancer: handle SubConn state change: 0xc000646bc0, CONNECTING
2020-01-11T16:26:44.920804Z info    roundrobinPicker: newPicker called with readySCs: map[]
2020-01-11T16:26:44.924250Z info    base.baseBalancer: handle SubConn state change: 0xc000646bc0, READY
2020-01-11T16:26:44.924615Z info    roundrobinPicker: newPicker called with readySCs: map[{svc-appidentityandaccessadapter:47304 0  <nil>}:0xc000646bc0]

Похоже, что он находится в состоянии ГОТОВ когда я загружаю приложение в веб-браузер, ничего не происходит, я получаю прямой доступ к приложению.

журналы адаптера: 

2020-01-11T16:26:24.518Z    info    initializer/policyinitializer.go:112    Successfully constructed k8s client {"source": "appidentityandaccessadapter-adapter"}
2020-01-11T16:26:24.562Z    info    web/web.go:390  Synced secret: appidentityandaccessadapter-cookie-sig-enc-keys  {"source": "appidentityandaccessadapter-adapter"}
2020-01-11T16:26:24.562Z    info    adapter/adapter.go:142  Listening on: [::]:47304    {"source": "appidentityandaccessadapter-adapter"}
2020-01-11T16:26:33.160Z    info    keyset/keyset.go:117    Synced public keys  {"source": "appidentityandaccessadapter-adapter", "url": "https:///auth/realms//protocol/openid-connect/certs"}
2020-01-11T16:26:33.160Z    info    keyset/keyset.go:50 Synced JWKs successfully.   {"source": "appidentityandaccessadapter-adapter", "url": "https:///auth/realms//protocol/openid-connect/certs"}
2020-01-11T16:26:33.160Z    info    crdeventhandler/add_event.go:55 OidcConfig created/updated  {"source": "appidentityandaccessadapter-adapter", "ID": "5b90d600-0ed4-4a42-b97f-379a502732f4", "name": "oidc-provider-config", "namespace": "default"}
2020-01-11T16:26:37.091Z    info    crdeventhandler/add_event.go:67 Policy created/updated  {"source": "appidentityandaccessadapter-adapter", "ID": "440e5c32-fb39-4e24-8f99-eab62dcf2502"}

1 Ответ

0 голосов
/ 22 января 2020

Проверьте disablePolicyCheck, запустив 

kubectl -n istio-system get cm istio -o jsonpath="{@.data.mesh}" | grep disablePolicyChecks

, если возвращается disablePolicyCheck: true, и выполните следующее: 

istioctl manifest apply --set values.global.disablePolicyChecks=false \
 --set values.mixer.policy.enabled=true \
 --set values.pilot.policy.enabled=true

В настоящее время Istio не учитывает конфигурацию global.disablePolicyCheck без настройка pilot.policy.enabled=true.

Кроме того, профиль по умолчанию в Istio устанавливает mixer.policy.enabled в false по соображениям производительности.

Как только вы запустите указанную выше команду, команда kubectl вернет disablePolicyChecks: false

...