检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
Istiod TLS证书密钥滥用（CVE-2021-34824） 漏洞详情 表1 漏洞信息 漏洞类型 CVE-ID 披露/发现时间 TLS证书密钥滥用 CVE-2021-34824 2021-06-24 影响评分 9.1 高危 触发场景 同时满足下列三个条件： Istio版本为1
端到端的透明安全 适用场景 众所周知，将传统的单体应用拆分为一个个微服务固然带来了各种好处，包括更好的灵活性、可伸缩性、重用性，但微服务也同样面临着特殊的安全需求，如下所示： 为了抵御中间人攻击，需要用到流量加密。 为了提供灵活的服务访问控制，需要用到TLS和细粒度访问策略。 为
图1 Istio JWT认证流程 ① 客户端连接认证服务，提供用户名和密码； ② 认证服务验证用户名和密码，生成JWT令牌，包括用户标识和过期时间等信息，并使用认证服务的私钥签名； ③ 认证服务向客户端返回生成的JWT令牌； ④ 客户端将收到的JWT令牌存储在本端，供后续请求时使用；
配置安全策略 ASM提供的安全功能主要分为访问授权、对端认证和JWT认证，以确保服务间通信的可靠性。 操作步骤 登录应用服务网格控制台，单击服务网格的名称，进入网格详情页面。 在左侧导航栏选择“服务管理”，在列表右上方选择服务所在命名空间。 选择一个服务，单击操作列的“安全”，在右侧页面进行访问授权和对端认证配置。
如果多个服务对应一个工作负载（Deployment），则不允许将这些服务加入网格进行治理，因为可能出现灰度发布、网关访问等功能异常。 如果服务的工作负载使用主机网络模式（Pod配置了hostNetwork: true），则不支持注入sidecar。 服务诊断 登录应用服务网格控制台，单击服务网格的名称，进入网格详情页面。
漏洞公告 未认证的控制面DoS攻击（CVE-2022-23635） Istiod TLS证书密钥滥用（CVE-2021-34824）
已经创建和原网格网关同规格的ELB实例。 创建Ingress资源 证书secret从istio-system空间迁移到业务命令空间，可使用如下命令： kubectl -nistio-system get secret {证书名} -oyaml > /tmp/{证书名}.yaml 进行如下修改： kubectl
负载均衡算法 ROUND_ROBIN：轮询，默认负载均衡算法。 LEAST_CONN：随机选取两个健康的主机，再从所选取的两个主机中选择一个链接数较少的主机。 RANDOM：从所有健康的主机中，随机选取一个。 会话保持 根据HTTP头部中的内容获取哈希： 选择Cookie：将以HTTP请
添加网关 服务网关在微服务实践中可以做到统一接入、流量管控、安全防护、业务隔离等功能。 前提条件 服务网关使用弹性负载均衡服务（ELB）的负载均衡器提供网络访问，因此在添加网关前，请提前创建负载均衡。 创建负载均衡时，需要确保所属VPC与集群的VPC一致，详情请参见创建独享型负载
CCE集群版本 修复了 CVE-2023-44487、CVE-2023-39325、CVE-2023-27487 等安全漏洞 详细内容请参阅：https://istio.io/latest/news/releases/1.15.x/announcing-1.15.7/ 父主题： 升级
部署ASM-PROXY 为了兼容不同虚拟机操作系统的版本差异，ASM-PROXY以Docker镜像的方式进行部署。部署流程如图1所示。 图1 ASM-PROXY部署流程 准备工作 已购买CCE集群，已在集群中创建虚拟机服务使用的命名空间（假设为vmns），已在该命名空间创建容器服务。具体操作请参见购买CCE集群。
1.3版本特性 基于Mixer的Metric、访问日志和调用链 支持SDS，证书轮换无需重启Pod 支持Sidecar API 控制面性能优化 华为私有版本Virtual Service Delegation上线，提前为大客户提供解耦Gateway流量配置 支持v1.13、v1.15、v1
的eth0。若您的业务pod监听到了lo，需要改成监听到eth0或者全零监听，否则升级后将导致服务无法访问。了解更多 详细内容请参阅：https://istio.io/latest/news/releases/1.13.x/announcing-1.13/change-notes/
在CCE控制台手动重启Pod。方法如下： 登录CCE控制台，在工作负载所在行，单击操作列的“更多 > 重新部署”。 检查工作负载是否配置了主机网络模式。方法如下： 登录CCE控制台，在工作负载所在行，单击操作列的“更多 > 编辑YAML”，查看是否配置了spec.template
V2的非Mixer方式的监控数据采集 支持控制面托管和非托管形态 支持多端口服务基于端口粒度的服务治理 支持v1.15和v1.17 CCE集群版本 详细内容请参阅：https://istio.io/latest/news/releases/1.6.x/announcing-1.6/change-notes/ 父主题：
续费，具体如下图所示。 图1 应用服务网格生命周期 网格从购买到到期前，处于正常运行阶段，资源状态为“运行中”。 到期后，资源状态变为“已过期”。 到期未续费时，网格资源首先会进入宽限期，宽限期到期后仍未续费，网格资源状态变为“已冻结”。 超过宽限期仍未续费将进入保留期，如果保留期内仍未续费，资源将被自动删除。
维护，因此用户需要根据本文指导对应用VirtualService进行修改。 对于delegate的介绍可以参考istio社区的说明： https://istio.io/latest/docs/reference/config/networking/virtual-service/#Delegate
短信和站内信的方式通知到华为云账号的创建者。 到期后影响 当您的包年/包月ASM应用服务网格到期未续费，首先会进入宽限期，资源状态变为“已过期”。部分操作（更新网格，升级网格等）受限。 如果您在宽限期内仍未续费包年/包月ASM应用服务网格，那么就会进入保留期，资源状态变为“已冻结
数据面升级说明 单击“升级”会将所有服务实例对接到新版本控制面，您可以通过修改命令空间的标签（去除istio-injection:enabled ，加上istio.io/rev: {revision} ，其中{revision} 为版本号，如1-13-9-r5），并重启部分pod进行测试，若无问题，则可以全部切换。
链路，详情请参见如何使用Istio调用链埋点。 如何使用Istio调用链埋点 Header信息包括如下内容，更多关于调用链的信息请参见https://istio.io/docs/tasks/telemetry/distributed-tracing/。 x-request-id x-b3-traceid
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
