Using ECC Workload Certificates (pilot-agent environmental variables)

• 语言: 英语
• 格式: .pdf
• 来源: events.istio.io

摘要

本文探讨了在Istio环境中使用椭圆曲线密码学（ECC）工作负载证书的配置和管理。文章介绍了ECC证书在Istio 1.6及更高版本中的支持，以及如何通过设置环境变量ECC_SIGNATURE_ALGORITHM为ECDSA来启用这一功能。同时，文章还提到了默认情况下istiod使用RSA生成自签名CA证书，以及Istio 1.10中的MeshConfig支持情况。

AI总结

文档总结：

本文档介绍了在Istio中如何使用ECC工作负载证书，特别是ECDSA P-256算法，以支持mTLS通信。以下是文档的核心观点和关键信息：

- **ECC证书需求**：不同环境中，需要使用基于椭圆曲线加密的x509证书。
- **Istio支持**：从1.6版本开始，Istio支持工作负载使用ECC证书进行mTLS通信。
- **版本更新**：自1.7.7+，1.8.2+和1.9.0+版本起，不再强制要求CA证书使用ECC加密。
- **环境变量设置**：为了启用ECC签名算法，用户需要在sidecar代理上设置ECC_SIGNATURE_ALGORITHM环境变量为ECDSA。对于网关，同样需要在安装/升级时设置此变量。
- **配置示例**：文档提供了配置示例，包括在IstioOperator中设置ECC_SIGNATURE_ALGORITHM。
- **未来支持**：在Istio 1.10中，ECC支持将作为Alpha功能加入meshConfig，环境变量将继续支持，以帮助用户迁移。
- **实验性说明**：环境变量及其使用被视为实验性的，未来可能会被弃用。

文档还提到了如何检查工作负载证书是否使用ECC以及其他环境变量的使用，并提醒用户环境变量是实验性的，应谨慎使用。