基于GKE Gateway实现微服务认证的方案咨询

核心实现路径 #

GKE Gateway底层基于Envoy，因此可以通过Envoy扩展能力或Gateway API的扩展机制对接你的自定义授权服务器，完成令牌验证与替换，以下是两种可行方案：

方案一：使用Envoy External Authorization Filter（推荐） #

利用Envoy的ext_authz过滤器将请求转发至你的授权服务器，完成令牌校验与替换，具体步骤：

• 定义EnvoyFilter资源，配置envoy.filters.http.ext_authz过滤器，指向授权服务器的集群内服务地址
• 开启请求体传递（若令牌在请求体中），并指定授权服务器返回的新JWT令牌对应的响应头字段
• 在HTTPRoute中通过extensionRef关联该过滤器，确保流量经过处理

示例EnvoyFilter配置片段：

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name: auth-token-replace
  namespace: istio-system
spec:
  workloadSelector:
    labels:
      istio: ingressgateway # 匹配GKE Gateway工作负载标签
  configPatches:
  - applyTo: HTTP_FILTER
    match:
      context: GATEWAY
      listener:
        portNumber: 8080
        filterChain:
          filter:
            name: "envoy.filters.network.http_connection_manager"
            subFilter:
              name: "envoy.filters.http.router"
    patch:
      operation: INSERT_BEFORE
      value:
        name: "envoy.filters.http.ext_authz"
        typed_config:
          "@type": "type.googleapis.com/envoy.extensions.filters.http.ext_authz.v3.ExtAuthz"
          grpc_service:
            envoy_grpc:
              cluster_name: outbound|8080||auth-server.your-namespace.svc.cluster.local
            timeout: 0.5s
          failure_mode_allow: false
          with_request_body:
            max_request_bytes: 8192
            allow_partial_message: true
          authorization_response:
            allowed_upstream_headers:
              patterns:
              - exact: "X-New-JWT" # 授权服务器返回的新令牌头字段

关联到HTTPRoute的配置：

apiVersion: gateway.networking.k8s.io/v1beta1
kind: HTTPRoute
metadata:
  name: service-route
  namespace: your-namespace
spec:
  parentRefs:
  - name: gke-gateway
  hostnames: ["your-service.com"]
  rules:
  - matches:
    - path:
        type: PathPrefix
        value: /api
    filters:
    - type: ExtensionRef
      extensionRef:
        group: networking.istio.io
        kind: EnvoyFilter
        name: auth-token-replace
    backendRefs:
    - name: your-service
      port: 80

方案二：自定义Gateway API AuthFilter（进阶） #

若需要更灵活的逻辑控制，可基于Gateway API的AuthFilter扩展点开发自定义插件：

1. 编写符合Gateway API授权规范的服务，接收请求中的令牌，调用你的授权服务器完成替换，返回包含新令牌的响应
2. 将该自定义AuthFilter注册到GKE Gateway的扩展控制器中
3. 在HTTPRoute的规则里配置authz过滤器指向你的自定义AuthFilter服务

关键注意事项 #

• 确保授权服务器与GKE Gateway网络可达（同集群内优先），避免跨网络延迟
• 设置合理的超时时间，防止授权服务不可用时影响主业务流量
• 调试时可通过kubectl logs <gateway-pod> -n istio-system查看Envoy日志，排查请求流转问题
• GKE Gateway需启用Istio集成或基于Envoy的网关模式，确保支持Envoy Filter扩展

内容的提问来源于stack exchange，提问作者Sepehr Javid