AWS App Mesh中的身份认证通常是如何管理的？

App Mesh 本身未内置类似API Gateway的托管Authorizer组件，服务网格场景下的身份与权限控制通常将公共逻辑下沉到代理层或入口层统一处理，避免微服务重复开发，主流落地方式分为三类：

1. 入口层统一认证 + 网格内部细粒度授权 #

这是生产环境最常用的落地架构：

• 不直接将负载均衡作为App Mesh唯一入口，在负载均衡与App Mesh之间增加API网关层，所有外部用户请求先经过API网关统一完成身份认证（JWT校验、OAuth2授权、API Key校验等），将解析后的用户ID、角色、权限范围等信息通过请求Header透传到后端网格
• 网格边界的Envoy代理开启内置JWT Authentication过滤器，对传入的身份凭证做二次校验，避免非法请求绕过网关进入网格
• 直接使用App Mesh原生的*授权策略（Authorization Policy）*配置服务间访问权限，支持基于来源服务、身份声明、HTTP方法、请求路径等多维度做权限控制，规则配置直接下发到Sidecar执行，无需业务代码改造

2. Sidecar层扩展认证授权能力，零业务侵入 #

如果不想额外引入API网关，可直接扩展App Mesh自带的Envoy Sidecar能力：

• 为Envoy配置External Authorization过滤器，统一对接独立的授权服务，所有请求在转发到业务容器前，会先转发到授权服务完成权限校验，校验通过才会转发到业务服务，校验失败直接返回错误响应
• 身份认证直接复用Envoy内置的JWT校验能力，配置好JWKS地址后，Sidecar会自动完成所有请求的身份凭证合法性校验，解析后的身份信息可通过Header传递给业务服务，也可直接作为授权规则的匹配条件

3. 对接通用权限引擎实现复杂权限模型 #

如果需要支持RBAC、ABAC等复杂权限规则，可对接开源权限引擎实现全网格统一权限管理：

• 接入OPA（Open Policy Agent）作为Envoy的外部授权服务，所有权限规则用Rego语言统一编写、集中下发，无需修改业务代码即可实现全网格的权限控制
• 权限规则支持基于用户身份、服务标签、请求属性、上下文环境等多维度匹配，规则更新实时生效，无需重启业务服务或Sidecar

以上三类方案均可避免每个微服务单独实现身份认证、授权逻辑，所有公共能力统一管控，既减少冗余开发，也降低了后续权限规则迭代的维护成本。

内容的提问来源于stack exchange，提问作者Bryce