Istio配置ext_authz实现JWT校验时报集群不存在错误如何解决

报错根因 #

• 配置中ext_authz服务引用的集群名称不符合Istio Sidecar生成的Outbound Cluster命名规范，存在格式错误。
• 错误来源是编写配置时，将URI里的http://前缀错误拼接到了集群名字符串中。Istio对K8s Service生成的出站集群有固定命名规则：outbound|<服务端口>|<服务命名空间>|<服务名>，全程不会包含访问协议的前缀，因此Envoy永远找不到配置里写的outbound|3000||http://auth-verify对应的集群条目，直接触发鉴权流程失败。

修复步骤 #

• 修正http_service.server_uri.cluster字段取值，严格对齐Istio的集群命名规则，将错误值替换为同命名空间下auth-verify服务对应的正确集群名outbound|3000||auth-verify。
• 补全透传逻辑：当前配置没有配置鉴权响应头的透传规则，即使auth-verify校验通过返回了x-authenticated头，Envoy默认也不会把这个头转发给backend业务应用，需要在ext_authz配置中增加authorization_response段，显式允许x-authenticated头透传到上游。
• 确认auth-verify对应的K8s Service存在，且3000端口的定义和应用实际监听端口匹配，避免集群存在但无可用端点的问题。

修正后的完整配置 #

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name: jwt-verification
  namespace: default
spec:
  workloadSelector:
    labels:
      app=backend
  configPatches:
    - applyTo: HTTP_FILTER
      match:
        context: SIDECAR_INBOUND
        listener:
          filterChain:
            filter:
              name: "envoy.filters.network.http_connection_manager"
              subFilter:
                name: "envoy.filters.http.router"
      patch:
        operation: INSERT_BEFORE
        filterClass: STATS
        value:
          name: envoy.filters.http.ext_authz
          typed_config:
            "@type": type.googleapis.com/envoy.extensions.filters.http.ext_authz.v3.ExtAuthz
            http_service:
              server_uri:
                uri: http://auth-verify.default.svc.cluster.local:3000/auth
                # 修正错误集群名，移除多余的http://前缀
                cluster: outbound|3000||auth-verify
                timeout: 5s
              # 配置鉴权响应头透传规则
              authorization_response:
                allowed_upstream_headers:
                  patterns:
                    - exact: x-authenticated
            status_on_error:
              code: FailedDependency

验证方法 #

• 应用修正后的配置后，执行如下命令检查istio-proxy日志，确认无集群不存在的报错：

  kubectl logs --tail 100 -f backend-695cf5b89d-nkgps istio-proxy | grep ext_authz
  

• 可通过如下命令确认指定集群在sidecar配置中已正确生成：

  istioctl proxy-config clusters backend-695cf5b89d-nkgps -n default | grep auth-verify
  

内容的提问来源于stack exchange，提问作者AshanPerera