Istio mTLS 통신과 인증서 발급

Istio mTLS 통신과 인증서 발급 An architecture diagram generated by Archify. 애플리케이션 · App 컨테이너 · Pod A 애플리케이션 App 컨테이너 Envoy Proxy · 사이드카 · Pod A Envoy Proxy 사이드카 istiod · 인증서 발급 · Architecture component · CA istiod 인증서 발급 CA Envoy Proxy · 사이드카 · Pod B Envoy Proxy 사이드카 애플리케이션 · App 컨테이너 · Pod B 애플리케이션 App 컨테이너 평문 mTLS 암호화 (양방향) 평문 인증서 인증서 Pod A Pod B Legend 애플리케이션 컨테이너 Istio 컨트롤 플레인 Envoy 사이드카 (mTLS 종단)

Identity 프로비저닝

  • • Istio Agent가 istiod에 CSR 전송
  • • istiod가 SPIFFE ID 기반 X.509 인증서 발급
  • • Agent가 SDS 프로토콜로 Envoy에 인증서 전달
  • • 인증서 자동 갱신 (기본 TTL: 24시간)

통신 경로

  • • 애플리케이션 ↔ 사이드카 구간은 파드 내부 평문 통신
  • • Envoy 사이드카 사이는 mTLS로 자동 암호화·인증
  • • SPIFFE ID: spiffe://cluster.local/ns/<ns>/sa/<sa>