如何配置Istio授权策略实现etcd Peer Pod间的端口访问控制？

由于通过host字段匹配的方案会因为Envoy转发时的host变化失效，我们可以改用**源Pod的标签或专属服务账户（ServiceAccount）**来精准识别etcd集群内的Pod，实现仅允许集群内Pod访问2380端口、拒绝外部请求的需求。

方案一：基于Pod标签的授权策略 #

假设你的etcd Peer Pod都带有统一标签（比如app: etcd-cluster），且位于ns命名空间，可使用以下配置：

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: allow-etcd-peer-access
  namespace: ns
spec:
  selector:
    matchLabels:
      app: etcd-cluster  # 指定目标为etcd集群的Pod
  action: ALLOW
  rules:
  - from:
    - source:
        labels:
          app: etcd-cluster  # 仅允许带该标签的Pod发起请求
    to:
    - operation:
        ports: ["2380"]  # 限定允许访问的端口为2380

这个策略逻辑直接：只有同样带有app: etcd-cluster标签的Pod，才能访问etcd Peer Pod的2380端口，所有其他来源的请求都会被默认拒绝。

方案二：基于ServiceAccount的授权策略（更安全，推荐） #

如果你的etcd Pod使用了专属的ServiceAccount（比如etcd-sa），可以通过服务账户来做更精准的身份校验：

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: allow-etcd-peer-access-sa
  namespace: ns
spec:
  selector:
    matchLabels:
      app: etcd-cluster
  action: ALLOW
  rules:
  - from:
    - source:
        serviceAccounts:
        - "ns/etcd-sa"  # 仅允许该命名空间下的etcd-sa账户对应的Pod访问
    to:
    - operation:
        ports: ["2380"]

额外注意事项 #

• Istio授权策略默认是拒绝所有未被ALLOW规则匹配的请求，因此无需额外配置DENY规则。
• 确保etcd Pod已注入Envoy Sidecar，且Sidecar正确监听了2380端口（可通过检查Pod的Sidecar容器端口配置确认）。
• 配置完成后，可使用istioctl analyze命令校验策略的语法和有效性，避免配置错误。

内容的提问来源于stack exchange，提问作者Manidhar Vutla