Istio AuthorizationPolicy规则不匹配返回503问题求助

问题描述 #

配置了如下允许所有路由的AuthorizationPolicy，但实际请求返回503错误，而非预期的允许访问或RBAC认证失败返回403：

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: allow-all
  namespace: qcust
spec:
  action: ALLOW
  rules:
    - to:
        - operation:
            paths:
              - "*"

无论在to规则中使用paths、methods还是hosts，问题一致，且请求字段似乎未传递到下游Pod。

日志分析 #

Sidecar代理日志关键信息 #

2023-03-28T15:52:54.148654Z debug   envoy rbac  enforced denied, matched policy none

明确显示RBAC未匹配到任何策略，直接拒绝了连接，导致连接终止。同时注意到：

• 请求的requestedServerName是outbound_.8088_._.qcust-front-end-external.qcust.svc.cluster.local（服务暴露的8088端口）
• Sidecar监听的本地端口是10.42.0.25:3000（Pod实际运行端口）

网关日志关键信息 #

2023-03-28T15:52:54.148938Z debug   envoy router    [C21367][S171697015603862305] upstream reset: reset reason: connection termination

网关收到上游Sidecar的连接终止信号，因此返回503错误——这是因为Sidecar在TCP连接层面就拒绝了请求，而非HTTP层面返回403。

解决方案 #

1. 修正AuthorizationPolicy的匹配规则 #

核心调整点：

• 添加selector指定策略应用的目标Pod（留空则匹配命名空间内所有Pod）
• 确保operation中的ports匹配Pod实际监听的端口（而非服务暴露端口）
• 使用Istio标准的路径通配符"/**"匹配所有路径（v1beta1版本中"*"无法正确匹配路径）

修正后的策略示例：

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: allow-all
  namespace: qcust
spec:
  action: ALLOW
  selector:
    matchLabels:
      app: qcust-front-end-external # 替换为你的Pod标签，留空则匹配命名空间所有Pod
  rules:
    - to:
        - operation:
            ports:
              - "3000" # 匹配Pod实际监听的端口
            paths:
              - "/**" # 匹配所有路径

2. 验证策略应用 #

执行以下命令确认策略配置正确：

kubectl describe authorizationpolicy allow-all -n qcust

检查Selector和Rules是否与目标Pod属性匹配。

3. 触发HTTP层面拒绝响应（可选） #

若希望RBAC认证失败时返回403而非503，需确保策略匹配HTTP请求属性（如路径、方法），上述修正后的策略已包含HTTP路径匹配，将触发HTTP层面的拒绝响应。

内容的提问来源于stack exchange，提问作者bks71