使用Istio Authorization时授权Swagger调用

核心思路 #

Istio AuthorizationPolicy通过匹配请求路径、来源身份、请求属性等维度实现细粒度授权，针对Swagger场景，只需围绕其访问路径和认证要求定义对应策略即可。

具体实现方法 #

1. 基础认证授权策略（统一环境适用） #

先明确你的Spring Boot应用暴露的Swagger相关路径，通常包括/swagger-ui/**、/v3/api-docs/**、/swagger-resources/**（根据Swagger/OpenAPI版本调整）。然后创建如下AuthorizationPolicy：

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: swagger-auth-policy
  namespace: <你的应用命名空间>
spec:
  selector:
    matchLabels:
      app: <你的Spring Boot应用标签> # 匹配目标应用的Pod标签
  action: ALLOW
  rules:
  - from:
    - source:
        requestPrincipals: ["*"] # 匹配所有经过Istio认证的用户
    to:
    - operation:
        paths: ["/swagger-ui/**", "/v3/api-docs/**", "/swagger-resources/**"] # 匹配Swagger所有相关路径
    when:
    - key: request.auth.claims[roles]
      values: ["admin", "developer"] # 仅允许携带指定角色Claim的用户访问

说明：

• requestPrincipals: ["*"]确保只有通过Istio认证（比如JWT验证）的用户才能访问；如果需要更严格控制，可指定具体认证发行者+主体，格式为issuer/subject。
• when 子句通过JWT中的roles Claim做角色校验，按需调整为你的实际Claim字段和角色值。

2. 分环境差异化授权（开发/生产隔离） #

如果需要在开发环境允许匿名访问Swagger，生产环境强制认证授权，可拆分两个策略：

开发环境允许匿名访问

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: swagger-dev-allow
  namespace: <你的应用命名空间>
spec:
  selector:
    matchLabels:
      app: <你的Spring Boot应用标签>
      env: dev # 匹配开发环境Pod标签
  action: ALLOW
  rules:
  - to:
    - operation:
        paths: ["/swagger-ui/**", "/v3/api-docs/**", "/swagger-resources/**"]

生产环境强制认证+角色授权

先定义拒绝未认证访问的策略：

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: swagger-prod-deny-unauth
  namespace: <你的应用命名空间>
spec:
  selector:
    matchLabels:
      app: <你的Spring Boot应用标签>
      env: prod # 匹配生产环境Pod标签
  action: DENY
  rules:
  - to:
    - operation:
        paths: ["/swagger-ui/**", "/v3/api-docs/**", "/swagger-resources/**"]
    from:
    - source:
        notRequestPrincipals: ["*"] # 拒绝所有未认证的请求

再定义允许合法认证用户访问的策略：

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: swagger-prod-allow-auth
  namespace: <你的应用命名空间>
spec:
  selector:
    matchLabels:
      app: <你的Spring Boot应用标签>
      env: prod
  action: ALLOW
  rules:
  - from:
    - source:
        requestPrincipals: ["*"]
    to:
    - operation:
        paths: ["/swagger-ui/**", "/v3/api-docs/**", "/swagger-resources/**"]
    when:
    - key: request.auth.claims[roles]
      values: ["admin"] # 仅允许管理员角色访问生产环境Swagger

关键注意事项 #

• 确保Spring Boot应用的Pod已注入Istio Sidecar，否则AuthorizationPolicy不会生效。
• 如果使用JWT认证，需提前配置RequestAuthentication资源验证JWT令牌，否则requestPrincipals和request.auth.claims等属性无法被填充。
• 路径匹配需覆盖所有Swagger相关端点，可通过/**通配符匹配所有子路径，避免遗漏。
• 可使用istioctl authz check <Pod名称> --namespace <命名空间> --path /swagger-ui/ --method GET命令验证策略是否生效。

内容的提问来源于stack exchange，提问作者sumek