Istio AuthorizationPolicy配置异常：指定命名空间内JWT认证未豁免

问题根源 #

你当前的AuthorizationPolicy规则逻辑存在错误：同一个rule下的多个source条件属于AND关系，意味着只有同时满足「携带有效JWT（requestPrincipals: '*'）」和「来源不是指定命名空间」的请求才会被允许。而命名空间内的请求没有携带JWT，不满足第一个条件，因此被默认拒绝，进而触发JWT认证要求。

另外需要明确：RequestAuthentication仅负责验证JWT的有效性，不会强制要求请求必须携带JWT，是否需要携带JWT完全由AuthorizationPolicy的规则控制。

正确配置方案 #

1. 修正AuthorizationPolicy #

调整规则为两个独立的rule（OR关系），分别允许命名空间内的无认证请求，以及命名空间外的JWT认证请求：

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: auth-policy
  namespace: istio-system
spec:
  selector:
    matchLabels:
      <key>: <value> # 替换为目标服务的标签
  rules:
  # 规则1：允许指定命名空间内的所有请求
  - from:
    - source:
        namespaces:
        - <namespace> # 替换为需要豁免的命名空间
    to:
    - operation:
        methods: ["*"] # 允许所有HTTP方法，可按需调整
  # 规则2：允许命名空间外且携带有效JWT的请求
  - from:
    - source:
        notNamespaces:
        - <namespace>
    - source:
        requestPrincipals: ["*"]
    to:
    - operation:
        methods: ["*"]

2. 保留现有RequestAuthentication #

你的RequestAuthentication配置无需修改，它会自动验证外部请求携带的JWT有效性：

apiVersion: "security.istio.io/v1beta1"
kind: "RequestAuthentication"
metadata:
  name: jwt
  namespace: istio-system
spec:
  selector:
    matchLabels:
      <key>: <value> # 与AuthorizationPolicy的selector保持一致
  jwtRules:
  - issuer: "<issuer>"
    jwksUri: "<jwksUri>"
    fromHeaders:
    - name: x-jwt-assertion
      prefix: "Bearer "

排查步骤 #

1. 验证规则逻辑：执行kubectl describe authorizationpolicy auth-policy -n istio-system，确认规则的AND/OR关系是否符合预期
2. 检查请求来源：查看Istio访问日志（默认路径/var/log/istio/access.log），确认内部请求的source.namespace是否为指定的豁免命名空间
3. 测试权限匹配：使用istioctl authz check <pod-name> -n <target-namespace>命令，模拟内部/外部请求，验证是否匹配对应的授权规则
4. 确认JWT验证：对于外部请求，携带有效JWT后测试是否能正常访问，无JWT时是否被拒绝

内容的提问来源于stack exchange，提问作者suman sourav