在 Amazon EKS 上使用 AWS Private CA 在 AWS App Mesh 中啟用 mTLS

由 Omar Kahil (AWS)、Emmanuel Saliu (AWS)、Muhammad Shahzad (AWS) 和 Andy Wong (AWS) 建立

Summary

此模式說明如何使用 AWS App Mesh 中 AWS Private Certificate Authority (AWS Private CA) 的憑證，在 Amazon Web Services (AWS) 上實作互通傳輸層安全性 (mTLS)。它透過 Secure Production Identity Framework for Everyone (SPIFFE) 使用 Envoy 秘密探索服務 (SDS) API。SPIFFE 是雲端原生運算基金會 (CNCF) 開放原始碼專案，具有廣泛的社群支援，可提供精細且動態的工作負載身分管理。若要實作 SPIFFE 標準，請使用 SPIRE SPIFFE 執行時間環境。

在 App Mesh 中使用 mTLS 提供雙向對等身分驗證，因為它透過 TLS 增加一層安全性，並允許網格中的服務驗證正在建立連線的用戶端。用戶端-伺服器關係中的用戶端也會在工作階段交涉過程中提供 X.509 憑證。伺服器使用此憑證來識別和驗證用戶端。這有助於驗證憑證是否由信任的憑證授權機構 (CA) 發行，以及憑證是否為有效的憑證。

先決條件和限制

先決條件

限制

產品版本

架構

下圖顯示 VPC 中具有 App Mesh 的 EKS 叢集。一個工作者節點中的 SPIRE 伺服器會與其他工作者節點中的 SPIRE 代理程式，以及與 AWS Private CA 通訊。Envoy 用於 SPIRE Agent 工作者節點之間的 mTLS 通訊。

此圖說明了下列步驟：

工具

AWS 服務

其他工具

史詩

kubectl exec -n spire spire-server-0 -- /opt/spire/bin/spire-server entry show

kubectl logs spire-server-0 -n spire

相關資源

其他資訊

將許可連接至叢集節點執行個體角色

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ACMPCASigning",
            "Effect": "Allow",
            "Action": [
                "acm-pca:DescribeCertificateAuthority",
                "acm-pca:IssueCertificate",
                "acm-pca:GetCertificate",
                "acm:ExportCertificate"
            ],
            "Resource": "*"
        }
    ]
}
AWS Managed Policy: "AWSAppMeshEnvoyAccess"

新增適用於 ACM 的 SPIRE 外掛程式

Add the SPIRE plugin for ACM
Change certificate_authority_arn to your PCA ARN. The signing algorithm used must be the same as the signing algorithm on the PCA. Change your_region to the appropriate AWS Region.
UpstreamAuthority "aws_pca" {
    plugin_data {
        region = "your_region"
        certificate_authority_arn = "arn:aws:acm-pca:...."
        signing_algorithm = "your_signing_algorithm"
    }
}