简介
Server 和 ServerAuthorization 是 Linkerd 中的两种策略资源，
用于控制对 mesh 应用程序的入站访问。
在 linkerd 安装期间，policyController.defaultAllowPolicy 字段用于指定当没有
Server 选择 pod 时的默认策略。此字段可以是以下之一：
-
all-unauthenticated: 允许所有请求。这是默认设置。 -
all-authenticated: 允许来自相同或不同集群（使用 multi-cluster）中的 mesh 客户端的请求。 -
cluster-authenticated: 允许来自同一集群中的 mesh 客户端的请求。 -
cluster-unauthenticated: 允许来自同一集群中的 mesh 和非 mesh 客户端的请求。 -
deny: 所有请求都被拒绝。（然后应创建 Policy 资源以允许服务之间的特定通信）。
可以通过在 pod spec 或其命名空间上设置注释 config.linkerd.io/default-inbound-policy 来覆盖此默认值。
为 pod & port 配置 Server 后，其默认行为是 deny 流量，
并且必须创建 ServerAuthorization 资源以允许 Server 上的流量。
系列
中文手册(https://hacker-linner.com)
Server
Server 在与 server 相同的命名空间中的一组 pod 上选择一个端口。
它通常选择 pod 上的单个端口，但在按名称引用端口时它可能会选择多个端口（例如 admin-http）。
虽然 Server 资源类似于 Kubernetes 的 Service，
但它增加了多个 Server 实例不能重叠的限制：它们不能选择相同的 pod/port 对。
Linkerd 附带了一个 admission controller，试图防止创建重叠的 server。
当服务器选择一个端口时，默认情况下会拒绝流量，
并且必须使用 ServerAuthorization 来授权 Server 选择的端口上的流量。
Spec
Server spec 可能包含以下顶级字段：
field | value |
| |
| 端口名称或编号。仅考虑 |
| 为入站连接配置协议发现。取代 |
podSelector
这与 Kubernetes 中的 labelSelector 字段相同。
属于此选择器的所有 pod 都将属于 Server 组。podSelector 对象必须恰好包含以下字段之一：
field | value |
| |
| |
Server 示例
一个 Server 选择具有特定标签的 pod，使用 gRPC 作为 proxyProtocol。
apiVersion: policy.linkerd.io/v1beta1
kind: Server
metadata:
namespace: emojivoto
name: emoji-grpc
spec:
podSelector:
matchLabels:
app: emoji-svc
port: grpc
proxyProtocol: gRPC
一个 Server 选择带有 matchExpressions 的 pod，HTTP/2 作为 proxyProtocol，在端口 8080 上。
apiVersion: policy.linkerd.io/v1beta1
kind: Server
metadata:
namespace: emojivoto
name: backend-services
spec:
podSelector:
matchExpressions:
- {key: app, operator: In, values: [voting-svc, emoji-svc]}
- {key: environment, operator: NotIn, values: [dev]}
port: 8080
proxyProtocol: "HTTP/2"
ServerAuthorization
ServerAuthorization 提供了一种向一个或多个 Server 授权流量的方法。
Spec
ServerAuthorization spec 必须包含以下顶级字段：
field | value |
| |
| |
Server
Server 对象必须包含以下字段之一：
field | value |
| 按名称引用 |
| |
selector
这与 Kubernetes 中的 labelSelector 字段相同。
属于此选择器的所有服务器都将应用此授权。
selector 对象必须恰好包含以下字段之一：
field | value |
| matchExpressions 是标签选择器要求的列表。 要求是 |
| matchLabels 是 {key,value} 对的映射。 |
client
client 对象必须包含以下字段之一：
field | value |
| |
| 授权未经身份验证的客户端访问服务器的布尔值。 |
或者，它还可以包含 networks 字段：
field | value |
| 限制此授权适用的客户端 |
meshTLS
meshTLS 对象必须恰好包含以下字段之一：
field | value |
| 一个布尔值，表示通信不需要客户端身份。这对于身份控制器非常重要，它必须终止来自尚未拥有证书的客户端的 TLS 连接。 |
| 授权的代理身份字符串列表（通过 MTLS 提供）。 |
| 授权客户端 |
serviceAccount
serviceAccount 字段包含以下顶级字段：
field | value |
| |
| |
ServerAuthorization 示例
一个 ServerAuthorization 允许 mesh
客户端使用 *.emojivoto.serviceaccount.identity.linkerd.cluster.local 代理身份，
即 emojivoto 命名空间中的所有服务帐户。
apiVersion: policy.linkerd.io/v1beta1
kind: ServerAuthorization
metadata:
namespace: emojivoto
name: emoji-grpc
spec:
# Allow all authenticated clients to access the (read-only) emoji service.
server:
selector:
matchLabels:
app: emoji-svc
client:
meshTLS:
identities:
- "*.emojivoto.serviceaccount.identity.linkerd.cluster.local"
一个允许任何未经身份验证的客户端的 ServerAuthorization。
apiVersion: policy.linkerd.io/v1beta1
kind: ServerAuthorization
metadata:
namespace: emojivoto
name: web-public
spec:
server:
name: web-http
# Allow all clients to access the web HTTP port without regard for
# authentication. If unauthenticated connections are permitted, there is no
# need to describe authenticated clients.
client:
unauthenticated: true
networks:
- cidr: 0.0.0.0/0
- cidr: ::/0
一个允许具有特定服务帐户的 mesh 客户端的 ServerAuthorization。
apiVersion: policy.linkerd.io/v1beta1
kind: ServerAuthorization
metadata:
namespace: emojivoto
name: prom-prometheus
spec:
server:
name: prom
client:
meshTLS:
serviceAccounts:
- namespace: linkerd-viz
name: prometheus
公众号：黑客下午茶
