Istio中AuthorizationPolicy拒绝请求时如何自定义错误码和响应体

可以自定义Istio AuthorizationPolicy规则触发拒绝时返回的状态码和响应报文内容，该能力从Istio 1.9版本开始原生支持，无需额外扩展组件。

默认返回表现 #

默认触发授权拒绝时，返回内容如下：

HTTP 403
RBAC: access denied

自定义配置方法 #

• 单服务维度自定义：在目标服务所在命名空间创建指定selector的AuthorizationPolicy，添加customResponse字段即可实现对应服务的拒绝响应自定义，示例配置如下：

apiVersion: security.istio.io/v1
kind: AuthorizationPolicy
metadata:
  name: custom-deny-demo
  namespace: default
spec:
  selector:
    matchLabels:
      app: demo-app # 匹配目标服务的标签
  action: DENY
  rules:
  - from:
    - source:
        notPrincipals: ["cluster.local/ns/default/sa/valid-access-sa"]
  # 自定义拒绝响应配置
  customResponse:
    status:
      code: 401 # 自定义HTTP状态码
    headers:
      add:
        "x-deny-reason": "invalid service account"
    body:
      string: '{"code":40101,"msg":"无访问权限，请联系管理员申请"}'

• 全局维度自定义：将AuthorizationPolicy创建在istio-system命名空间下，不配置spec.selector，配置的自定义响应会对集群内所有服务生效。

配置字段说明 #

• customResponse.status.code：必填项，指定自定义的HTTP响应状态码，需为标准HTTP状态码取值
• customResponse.headers.add：选填项，可追加任意自定义响应头字段
• customResponse.body.string：选填项，指定自定义返回的响应体内容，支持纯文本、JSON等任意字符串格式

注意事项 #

• 仅Istio 1.9及以上版本支持原生自定义拒绝响应，更低版本需要通过编写EnvoyFilter修改Envoy本地回复规则实现，复杂度较高，建议优先升级Istio版本使用原生能力。
• 同一资源匹配到多条DENY类型的AuthorizationPolicy时，优先级最高的策略的自定义响应配置生效。

内容的提问来源于stack exchange，提问作者2240