istio学习(二) 使用JWT进行权限验证

本文主要是介绍istio学习(二) 使用JWT进行权限验证，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

---

前言

参考：https://www.cnblogs.com/kirito-c/p/12464531.html

---

提示：以下是本篇文章正文内容，下面案例可供参考

1、生成JWK

在linux使用OPENSSL生成公钥和私钥

# 1. 生成 2048 位（不是 256 位）的 RSA 密钥
openssl genrsa -out rsa-private-key.pem 2048# 2. 通过密钥生成公钥
openssl rsa -in rsa-private-key.pem -pubout -out rsa-public-key.pem

使用在线工具将RSA公钥转为JWK
地址为：https://8gwifi.org/jwkconvertfunctions.jsp
最后生成的私钥rsa-private-key.pem如下：

-----BEGIN RSA PRIVATE KEY-----
**********省略***********
-----END RSA PRIVATE KEY-----

最后生成的公钥rsa-public-key.pem如下：

-----BEGIN PUBLIC KEY-----
***********省略*************
-----END PUBLIC KEY-----

最后生成的JWK如下：

{"kty": "RSA","e": "AQAB","kid": "49647d9c-9721-4b69-8071-8ff0fc2560c9","n": "*************"
}

2、测试密钥可用性

在jwt.io填上公钥和私钥，以及iss

3、创建RequestAuthentication

创建request-authentication.yaml

apiVersion: "security.istio.io/v1beta1"
kind: "RequestAuthentication"
metadata:name: "jwt-example"namespace: istio-system
spec:selector:matchLabels:istio: ingressgatewayjwtRules:- issuer: "1234567890"jwks: '{"keys": [{"kty": "RSA","e": "AQAB","kid": "49647d9c-9721-4b69-8071-8ff0fc2560c9","n": "********"}]}'forwardOriginalToken: true

kubectl apply -f request-authentication.yaml

4、访问测试

直接访问istio中某个应用istio-call，不带Authorization请求头，可参见“6、部署istio示例”，可以成功。

如果带着Authorization请求头，值不对，返回401错误。

如果带着Authorization请求头，值使用第2步生成的，可以访问成功

5、创建AuthorizationPolicy

使用上面创建的RequestAuthentication，如果请求头中不携带Authorization，就可以跳过认证，需要创建AuthorizationPolicy

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:name: require-jwtnamespace: istio-system
spec:selector:matchLabels:istio: ingressgatewayaction: ALLOWrules:- from:- source:requestPrincipals: ["1234567890/*"]

kubectl apply -f authorizationPolicy.yaml

从postman发送请求，如果不添加Authorization请求头，会报403错误：

如果添加正确的请求头：

6、JAVA生成密钥

将私钥文件转换

openssl pkcs8 -topk8 -inform PEM -outform DER -in rsa-private-key.pem -out pkcs8_private.key -nocrypt

引入java-jwt依赖，这里使用的gradle，如果使用maven,替换为maven的方式

api group: 'com.auth0', name: 'java-jwt', version: "3.3.0"

生成token:

private static Algorithm createRsaAlgorithm(Boolean privateKeyFlag) throws IOException, NoSuchAlgorithmException, InvalidKeySpecException {RSAPrivateKey privateKey = null;RSAPublicKey publicKey = null;if (privateKeyFlag == null || privateKeyFlag) {@Cleanup InputStream is = ConfigUtils.getInOutConfigStream("/rsakey/pkcs8_private.key");ByteArrayOutputStream baos = new ByteArrayOutputStream();is.transferTo(baos);byte[] keyBytes = baos.toByteArray();PKCS8EncodedKeySpec spec = new PKCS8EncodedKeySpec(keyBytes);KeyFactory kf = KeyFactory.getInstance("RSA");privateKey = (RSAPrivateKey) kf.generatePrivate(spec);} else if (privateKeyFlag == null || !privateKeyFlag) {InputStream is2 = ConfigUtils.getInOutConfigStream("/rsakey/rsa-public-key.pem");@Cleanup PemReader pemReader = new PemReader(new InputStreamReader(is2));PemObject pemObject = pemReader.readPemObject();X509EncodedKeySpec pubKeySpec = new X509EncodedKeySpec(pemObject.getContent());KeyFactory kf2 = KeyFactory.getInstance("RSA");publicKey = (RSAPublicKey) kf2.generatePublic(pubKeySpec);}return Algorithm.RSA256(publicKey, privateKey);
}生成token的代码如下：
JWT.create().withHeader(map).withIssuer(ISS).withClaim("username", username).withClaim("date", iatDate).withClaim("sub", ISS).withClaim("iss", ISS).withExpiresAt(expiresDate).withIssuedAt(iatDate).sign(createRsaAlgorithm(true));

这篇关于istio学习(二) 使用JWT进行权限验证的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！

---