Envoy RBAC 实战：细粒度访问控制，让你的服务更安全！

2025/3/14 02:09:21 176 0 0 0

嘿，老铁！我是老码农，一个专注于分享硬核技术的家伙。今天，我们来聊聊 Envoy 这个强大的服务代理，以及如何利用它的 RBAC（Role-Based Access Control，基于角色的访问控制）Filter 来实现细粒度的访问控制，让你的服务更安全！

为什么 Envoy RBAC 如此重要？

在微服务架构中，服务之间的调用关系错综复杂。为了确保服务的安全，我们需要对这些调用进行严格的控制。想象一下，如果没有访问控制，任何服务都可以随意访问你的数据库，修改你的用户信息，甚至瘫痪你的整个系统，这简直是灾难！

Envoy RBAC 就像一个守护神，它可以根据预定义的规则，决定哪些请求可以访问你的服务，哪些请求会被拒绝。通过 RBAC，你可以实现：

最小权限原则：只允许用户或服务访问其所需的最少资源，降低安全风险。
灵活的访问控制：根据用户、服务、请求路径、HTTP 方法等多种因素，定义复杂的访问规则。
集中式管理：通过 Envoy 的配置，统一管理所有服务的访问控制策略。
易于集成：RBAC Filter 与 Envoy 完美集成，无需修改你的应用程序代码。

准备工作：你需要了解的基础知识

在开始实战之前，我们需要先了解一些基础知识：

Envoy 的基本概念：
- Listener (监听器)：负责监听客户端的连接请求。可以理解为服务的入口。
- Route (路由)：定义了如何将请求转发到上游服务。相当于一个“交通指挥员”。
- Cluster (集群)：代表一组上游服务实例。Envoy 会将请求负载均衡到这些实例上。
- Filter (过滤器)：Envoy 的核心组件，用于处理请求和响应。RBAC Filter 属于 Network Filter。
RBAC 的核心概念：
- 角色（Role）：定义了一组权限。例如，“管理员”、“普通用户”等。
- 权限（Permission）：定义了可以访问的资源和操作。例如，“读取用户信息”、“修改订单”等。
- 策略（Policy）：将角色和权限关联起来，定义了哪些用户或服务可以访问哪些资源。

场景分析：一个简单的电商平台

为了更好地理解 Envoy RBAC 的应用，我们以一个简单的电商平台为例。这个平台有以下几个服务：

用户服务：负责用户注册、登录、信息管理等。
商品服务：负责商品展示、搜索、详情页等。
订单服务：负责创建订单、支付、订单状态管理等。

我们的目标是：

只允许已登录用户访问订单服务：未登录用户无法创建或查看订单。
限制用户只能访问自己的订单：防止用户查看其他用户的订单信息。
允许管理员访问所有订单：管理员可以查看和管理所有订单。

实战演练：配置 Envoy RBAC Filter

现在，让我们一步一步地配置 Envoy RBAC Filter，实现上述访问控制策略。

1. 配置 RBAC Filter

首先，我们需要在 Envoy 的配置文件中添加 RBAC Filter。以下是一个简单的示例，展示了如何将 RBAC Filter 添加到 Listener 中：

listeners:
  - address:
      socket_address:
        protocol: TCP
        address: 0.0.0.0
        port_value: 8080
    filter_chains:
      - filters:
          - name: envoy.filters.network.http_connection_manager
            typed_config:
              '@type': type.googleapis.com/envoy.extensions.filters.network.http_connection_manager.v3.HttpConnectionManager
              stat_prefix: ingress_http
              http_filters:
                - name: envoy.filters.http.rbac
                  typed_config:
                    '@type': type.googleapis.com/envoy.extensions.filters.http.rbac.v3.RBAC
                    rules:
                      policies:
                        # 定义一个名为 "authenticated" 的策略
                        authenticated:
                          permissions:
                            - any:
                                # 如果 matchers 为空，则匹配所有请求
                                 
                          principals:
                            - authenticated:
                                # 如果存在 authentication 过滤器，则匹配已认证的用户
                                # 实际使用中，需要配置一个 authentication 过滤器，例如 JWT 认证
                                 
                - name: envoy.filters.http.router

关键点解释：

envoy.filters.http.rbac：指定使用 RBAC Filter。
rules：定义访问控制规则。policies 包含多个策略，每个策略定义一组权限和主体（用户或服务）。
authenticated：策略的名称。可以自定义。
permissions：定义允许的操作。any 表示允许所有操作。在实际应用中，你需要根据 HTTP 方法、路径等进行更细粒度的控制。
principals：定义允许访问的主体。authenticated 表示已认证的用户。这需要结合认证过滤器使用，例如 JWT 认证。

2. 配置认证过滤器（JWT 认证示例）

为了让 RBAC Filter 能够识别已认证的用户，我们需要配置一个认证过滤器。这里，我们以 JWT 认证为例。请注意，这只是一个示例，你可以根据自己的实际情况选择合适的认证方式。

listeners:
  - address:
      socket_address:
        protocol: TCP
        address: 0.0.0.0
        port_value: 8080
    filter_chains:
      - filters:
          - name: envoy.filters.network.http_connection_manager
            typed_config:
              '@type': type.googleapis.com/envoy.extensions.filters.network.http_connection_manager.v3.HttpConnectionManager
              stat_prefix: ingress_http
              http_filters:
                # JWT 认证过滤器
                - name: envoy.filters.http.jwt_authn
                  typed_config:
                    '@type': type.googleapis.com/envoy.extensions.filters.http.jwt_authn.v3.JwtAuthentication
                    providers:
                      # 定义一个 JWT 提供者
                      jwt_provider:
                        issuer: "your_issuer"
                        jwks_uri: "your_jwks_uri"
                    rules:
                      - match:
                          prefix: "/orders"
                        requires:
                          provider_name: jwt_provider
                # RBAC Filter
                - name: envoy.filters.http.rbac
                  typed_config:
                    '@type': type.googleapis.com/envoy.extensions.filters.http.rbac.v3.RBAC
                    rules:
                      policies:
                        authenticated:
                          permissions:
                            - any:
                                # 如果 matchers 为空，则匹配所有请求
                          principals:
                            - authenticated:
                                # 匹配已认证的用户
                                 
                - name: envoy.filters.http.router

关键点解释：

envoy.filters.http.jwt_authn：指定使用 JWT 认证过滤器。
providers：配置 JWT 提供者。你需要指定 issuer（签发者）和 jwks_uri（JWKS 地址）。
rules：定义认证规则。match 用于匹配请求路径，requires 用于指定需要认证的提供者。例如，/orders 路径下的请求需要 JWT 认证。

3. 配置基于路径的访问控制

现在，让我们更进一步，配置基于路径的访问控制，实现用户只能访问自己的订单，管理员可以访问所有订单的策略。

listeners:
  - address:
      socket_address:
        protocol: TCP
        address: 0.0.0.0
        port_value: 8080
    filter_chains:
      - filters:
          - name: envoy.filters.network.http_connection_manager
            typed_config:
              '@type': type.googleapis.com/envoy.extensions.filters.network.http_connection_manager.v3.HttpConnectionManager
              stat_prefix: ingress_http
              http_filters:
                # JWT 认证过滤器
                - name: envoy.filters.http.jwt_authn
                  typed_config:
                    '@type': type.googleapis.com/envoy.extensions.filters.http.jwt_authn.v3.JwtAuthentication
                    providers:
                      # 定义一个 JWT 提供者
                      jwt_provider:
                        issuer: "your_issuer"
                        jwks_uri: "your_jwks_uri"
                    rules:
                      - match:
                          prefix: "/orders"
                        requires:
                          provider_name: jwt_provider
                # RBAC Filter
                - name: envoy.filters.http.rbac
                  typed_config:
                    '@type': type.googleapis.com/envoy.extensions.filters.http.rbac.v3.RBAC
                    rules:
                      policies:
                        # 策略：已认证用户只能访问自己的订单
                        user_orders:
                          permissions:
                            - and_rules:
                              rules:
                                # 匹配 GET 请求和 /orders/{user_id} 路径
                                - header:
                                    name: ':method'
                                    exact_match: GET
                                - url_path:
                                    path:
                                      regex_match: "/orders/\\d+"
                          principals:
                            - authenticated:
                        # 策略：管理员可以访问所有订单
                        admin_orders:
                          permissions:
                            - any:
                          principals:
                            - metadata:
                                filter: "envoy.filters.http.jwt_authn"
                                path:
                                  - key: "jwt_payload"
                                  - key: "roles"
                                    string_match:
                                      exact: "admin"
                - name: envoy.filters.http.router

关键点解释：

user_orders：策略的名称，用于定义用户访问自己订单的规则。
permissions：
- and_rules：表示所有规则都需要匹配。rules 包含多个规则，使用 header 和 url_path 定义匹配条件。
- header：匹配 HTTP 请求头。name: ':method' 匹配 HTTP 方法，exact_match: GET 匹配 GET 请求。
- url_path：匹配请求路径。regex_match: "/orders/\\d+" 匹配 /orders/{user_id} 形式的路径，其中 \\d+ 表示一个或多个数字（用户 ID）。
admin_orders：策略的名称，用于定义管理员访问所有订单的规则。
principals：
- metadata：根据元数据匹配主体。这里使用 envoy.filters.http.jwt_authn 过滤器提供的元数据。你需要确保 JWT 认证过滤器在 JWT 中包含了 roles 字段，用于标识用户的角色。
- path：指定元数据中的字段。这里匹配 jwt_payload.roles 字段。
- string_match：匹配字符串。exact: "admin" 匹配角色为 “admin” 的用户。

4. 完整的 Envoy 配置示例

下面是一个完整的 Envoy 配置示例，包含了 RBAC Filter、JWT 认证过滤器和路由配置：

static_resources:
  listeners:
    - name: listener_0
      address:
        socket_address:
          protocol: TCP
          address: 0.0.0.0
          port_value: 8080
      filter_chains:
        - filters:
            - name: envoy.filters.network.http_connection_manager
              typed_config:
                '@type': type.googleapis.com/envoy.extensions.filters.network.http_connection_manager.v3.HttpConnectionManager
                stat_prefix: ingress_http
                http_filters:
                  # JWT 认证过滤器
                  - name: envoy.filters.http.jwt_authn
                    typed_config:
                      '@type': type.googleapis.com/envoy.extensions.filters.http.jwt_authn.v3.JwtAuthentication
                      providers:
                        # 定义一个 JWT 提供者
                        jwt_provider:
                          issuer: "your_issuer"
                          jwks_uri: "your_jwks_uri"
                      rules:
                        - match:
                            prefix: "/orders"
                          requires:
                            provider_name: jwt_provider
                  # RBAC Filter
                  - name: envoy.filters.http.rbac
                    typed_config:
                      '@type': type.googleapis.com/envoy.extensions.filters.http.rbac.v3.RBAC
                      rules:
                        policies:
                          # 策略：已认证用户只能访问自己的订单
                          user_orders:
                            permissions:
                              - and_rules:
                                rules:
                                  # 匹配 GET 请求和 /orders/{user_id} 路径
                                  - header:
                                      name: ':method'
                                      exact_match: GET
                                  - url_path:
                                      path:
                                        regex_match: "/orders/\\d+"
                            principals:
                              - authenticated:
                          # 策略：管理员可以访问所有订单
                          admin_orders:
                            permissions:
                              - any:
                            principals:
                              - metadata:
                                  filter: "envoy.filters.http.jwt_authn"
                                  path:
                                    - key: "jwt_payload"
                                    - key: "roles"
                                      string_match:
                                        exact: "admin"
                  - name: envoy.filters.http.router
  clusters:
    - name: user_service
      connect_timeout: 0.25s
      type: strict_dns
      lb_policy: round_robin
      load_assignment:
        cluster_name: user_service
        endpoints:
          - lb_endpoints:
              - endpoint:
                  address:
                    socket_address:
                      address: user_service
                      port_value: 80
    - name: order_service
      connect_timeout: 0.25s
      type: strict_dns
      lb_policy: round_robin
      load_assignment:
        cluster_name: order_service
        endpoints:
          - lb_endpoints:
              - endpoint:
                  address:
                    socket_address:
                      address: order_service
                      port_value: 80
admin:
  access_log_path: "/tmp/admin_access.log"
  address:
    socket_address:
      protocol: TCP
      address: 0.0.0.0
      port_value: 9901

注意：

你需要将 your_issuer 和 your_jwks_uri 替换为你的 JWT 认证提供者的实际值。
你需要部署用户服务和订单服务，并在 Envoy 配置中正确配置它们的地址和端口。
你需要确保 JWT 中包含了用户的角色信息，例如 roles: "admin"。

5. 测试访问控制

配置完成后，我们需要测试访问控制策略是否生效。你可以使用 curl 命令进行测试：

测试未登录用户访问订单服务：
```
curl -X GET http://localhost:8080/orders
```
预期结果：被拒绝访问（403 Forbidden）。

测试已登录用户访问自己的订单：

# 假设你已经获取了 JWT 令牌
curl -X GET http://localhost:8080/orders/123 -H "Authorization: Bearer YOUR_JWT_TOKEN"

预期结果：成功访问。其中，123 是你的用户 ID。

测试已登录用户访问其他用户的订单：
```
# 假设你已经获取了 JWT 令牌
curl -X GET http://localhost:8080/orders/456 -H "Authorization: Bearer YOUR_JWT_TOKEN"
```
预期结果：被拒绝访问（403 Forbidden）。其中，456 是其他用户的 ID。

测试管理员访问所有订单：

# 假设你已经获取了管理员的 JWT 令牌
curl -X GET http://localhost:8080/orders/ -H "Authorization: Bearer YOUR_JWT_TOKEN"

预期结果：成功访问。

总结与最佳实践

恭喜你，你已经成功地配置了 Envoy RBAC Filter，实现了细粒度的访问控制！

在实际应用中，你可能需要根据你的具体需求，进行更复杂的配置。以下是一些最佳实践：

使用更细粒度的权限控制：不要仅仅基于 HTTP 方法和路径，还可以根据请求参数、用户属性等进行更细粒度的控制。
结合其他安全措施：RBAC 只是安全体系中的一部分。你还需要结合其他安全措施，例如输入验证、输出编码、安全审计等，构建全面的安全防护体系。
定期审查访问控制策略：随着业务的发展，你的访问控制策略也需要不断调整。定期审查你的策略，确保它们仍然满足你的安全需求。
使用 YAML 配置：Envoy 的配置文件通常使用 YAML 格式，这使得配置更易于阅读和维护。使用 YAML 格式进行配置，可以避免手动编辑 JSON 格式的配置文件。
使用 Envoy 的 API：Envoy 提供了 API 接口，可以动态地更新配置。这使得你可以在运行时修改访问控制策略，而无需重启 Envoy。
监控和日志：Envoy 提供了丰富的监控和日志功能。你可以利用这些功能，监控访问控制策略的执行情况，并进行故障排查。
版本控制：将你的 Envoy 配置文件进行版本控制，例如使用 Git。这可以方便你回滚到之前的配置版本，并进行配置变更的管理。

进阶：更高级的 RBAC 配置

除了基本的访问控制之外，Envoy RBAC 还支持一些更高级的配置，例如：

条件匹配：你可以使用逻辑运算符（例如 AND、OR、NOT）组合多个匹配条件，实现更复杂的访问控制逻辑。
动态元数据：你可以从其他过滤器（例如 gRPC 过滤器、Lua 过滤器）中获取动态元数据，用于访问控制决策。
外部授权：你可以将访问控制决策委托给外部授权服务器，实现更灵活和可扩展的授权机制。

故障排除：常见问题与解决方法

在使用 Envoy RBAC 的过程中，你可能会遇到一些问题。以下是一些常见问题与解决方法：

访问被拒绝（403 Forbidden）：
- 检查 RBAC 配置是否正确，特别是 permissions 和 principals 的匹配条件。
- 检查认证过滤器是否配置正确，JWT 令牌是否有效。
- 检查用户角色是否正确，管理员角色是否已正确配置。
配置无法生效：
- 检查 Envoy 配置文件是否正确，特别是语法错误。
- 检查 Envoy 是否已正确加载配置文件。
- 检查 Envoy 的日志，查看是否有错误信息。
性能问题：
- RBAC Filter 会对请求进行额外的处理，可能会影响性能。优化你的配置，避免过度复杂的规则。
- 使用缓存，缓存访问控制决策，减少对性能的影响。

结束语

Envoy RBAC 是一个强大的工具，可以帮助你构建更安全、更可靠的微服务架构。希望这篇文章能够帮助你理解 Envoy RBAC 的原理和应用，并能够在实际项目中灵活运用。如果你在实践中遇到任何问题，欢迎随时向我提问，我们一起探讨，共同进步！

记住，安全是一个持续的过程，不断学习和实践，才能让你的服务更加安全可靠！加油，老铁！

老码农 Envoy RBAC 访问控制微服务安全

Envoy RBAC 实战：细粒度访问控制，让你的服务更安全！

为什么 Envoy RBAC 如此重要？

准备工作：你需要了解的基础知识

场景分析：一个简单的电商平台

实战演练：配置 Envoy RBAC Filter

1. 配置 RBAC Filter

2. 配置认证过滤器（JWT 认证示例）

3. 配置基于路径的访问控制

4. 完整的 Envoy 配置示例

5. 测试访问控制

总结与最佳实践

进阶：更高级的 RBAC 配置

故障排除：常见问题与解决方法

结束语

评论点评