Istio配置AuthPolicy后VirtualService路径重写失效问题

问题描述 #

我正按照Istio社区文档配置Istio对接基于Keycloak的自定义OAuth2提供商。现有Nginx Ingress将mlp.prod的所有流量转发至Istio IngressGateway，已配置对应的Gateway和指向mlflow服务的VirtualService（将/mlflow路径重写为空），未配置AuthPolicy时访问mlp.prod/mlflow可正常打开MLFLOW界面；但为/mlflow路径配置使用oauth2-proxy的AuthorizationPolicy后，OAuth认证完成后出现404页面无法访问的问题。请问VirtualService的重写功能是否仅在未配置AuthPolicy时生效？

版本信息 #

Istio版本 #

istioctl version
client version: 1.15.2
control plane version: 1.15.2
data plane version: 1.15.2 (8 proxies)

Kubernetes版本 #

kubectl version --short
Flag --short has been deprecated, and will be removed in the future. The --short output will become the default.
Client Version: v1.24.2
Kustomize Version: v4.5.4
Server Version: v1.22.9
WARNING: version difference between client (1.24) and server (1.22) exceeds the supported minor version skew of +/-1

问题分析与解决方案 #

VirtualService的路径重写功能并非仅在未配置AuthPolicy时生效，问题出在认证规则与路径重写的执行顺序、oauth2-proxy回调路径处理上：

1. 执行顺序冲突：Istio中AuthorizationPolicy匹配的是原始请求路径，而VirtualService的路径重写在认证之后执行。若AuthorizationPolicy仅限制/mlflow路径，oauth2-proxy的回调请求（通常为/oauth2/callback）会被拦截，导致认证后重定向逻辑异常。
2. 回调路径未适配：oauth2-proxy完成认证后会重定向回原始请求路径，若此时VirtualService的重写规则未覆盖该重定向请求，会导致最终请求路径错误触发404。

具体修复步骤 #

• 调整AuthorizationPolicy规则：同时包含/mlflow/*和oauth2-proxy的回调路径，避免拦截必要请求：

  apiVersion: security.istio.io/v1beta1
  kind: AuthorizationPolicy
  metadata:
    name: mlflow-auth
    namespace: your-namespace
  spec:
    selector:
      matchLabels:
        istio: ingressgateway
    rules:
    - from:
      - source:
          requestPrincipals: ["*"]
      to:
      - operation:
          paths: ["/mlflow/*", "/oauth2/*"]
  

• 优化VirtualService重写逻辑：使用prefix匹配覆盖所有/mlflow开头的请求，确保认证后的重定向请求也能被正确处理：

  apiVersion: networking.istio.io/v1alpha3
  kind: VirtualService
  metadata:
    name: mlflow-vs
    namespace: your-namespace
  spec:
    hosts:
    - mlp.prod
    gateways:
    - your-gateway
    http:
    - match:
      - uri:
          prefix: /mlflow
      rewrite:
        uri: ""
      route:
      - destination:
          host: mlflow-service
          port:
            number: 5000
  

• 校验oauth2-proxy配置：确保redirect-url设置为https://mlp.prod/oauth2/callback，upstream指向Istio IngressGateway的正确地址，避免路径冲突。
• 版本兼容性提示：K8s客户端与服务端版本超出支持的小版本偏差（±1），虽不直接引发当前问题，但可能导致其他兼容异常，建议尽量对齐版本。

内容的提问来源于stack exchange，提问作者Sujith Samuel