Istio

영향 확인 (7)

• ▸▾securityambient 모드 포트 수준 STRICT 정책 적용 수정

  메시 전체 STRICT 정책과 워크로드 모드 PERMISSIVE 또는 DISABLE을 사용하는 ambient 모드에 적용됩니다.

  ambient 모드에서 메시 전체 STRICT 정책과 워크로드 모드가 PERMISSIVE 또는 DISABLE일 때 포트 수준 STRICT PeerAuthentication이 건너뛰어지던 우선순위 오류를 수정했습니다. 이제 mTLS가 필요한 포트에 평문 트래픽이 도달하지 않습니다.

• ▸▾securityAuthorizationPolicy 호스트 조건의 대소문자 구분 수정

  request.headers[:authority] 또는 request.headers[host]에 AuthorizationPolicy 조건을 사용하는 경우에 적용됩니다.

  request.headers[:authority] 및 request.headers[host] 조건을 대소문자를 구분해 일치시키던 문제를 수정했습니다. 이제 호스트와 같은 방식으로 대소문자를 구분하지 않고 조건을 검사합니다.

• ▸▾security오래된 연결 추적으로 인한 sidecar proxy 우회 수정

  sidecar proxy가 종료된 연결의 4-튜플을 재사용하는 새 인바운드 연결을 받을 때 적용됩니다.

  종료된 연결의 오래된 conntrack ESTABLISHED 항목과 일치하는 새 인바운드 연결이 sidecar proxy를 우회할 수 있던 문제를 수정했습니다.

• ▸▾security잘못된 xDS 리소스 이름으로 인한 istiod 충돌 수정

  메시 식별자가 있는 워크로드가 URL 파싱에 실패하는 리소스 이름으로 istio.io/debug xDS 요청을 보내는 경우에 적용됩니다.

  잘못된 URL 형식의 리소스 이름을 담은 istio.io/debug xDS 요청으로 istiod가 충돌하고 전체 메시의 제어 영역이 충돌 반복 상태에 빠지던 문제를 수정했습니다.

• ▸▾securityambient 모드 빈 정책 항목 처리 수정

  비어 있는 to 또는 from 항목을 포함한 AuthorizationPolicy를 ambient 모드에서 사용하는 경우에 적용됩니다.

  ambient 모드에서 비어 있는 to 또는 from 항목을 포함한 AuthorizationPolicy가 검증 웹훅에서 거부되지 않아 istiod가 충돌 반복 상태에 빠지고 메시 전체의 설정 배포가 중단되던 문제를 수정했습니다.

• ▸▾security멀티클러스터 CLUSTER_ID 위장 방지

  멀티클러스터 설치를 사용하는 경우에 적용됩니다.

  멀티클러스터 설치에서 프록시가 다른 클러스터의 CLUSTER_ID를 주장하고 해당 클러스터의 kubernetes:// 시크릿을 SDS로 받던 문제를 수정했습니다.

• ▸▾security잘못된 traceparent 헤더로 인한 ztunnel 패닉 수정

  인바운드 HBONE 연결에서 ztunnel이 대시로 구분된 네 개의 필드가 없는 55바이트 traceparent 헤더를 받는 경우에 적용됩니다.

  인바운드 HBONE 연결에서 대시로 구분된 네 개의 필드가 없는 55바이트 traceparent 헤더를 파싱할 때 ztunnel이 패닉을 일으키고 해당 연결의 모든 다중화 스트림을 끊던 문제를 수정했습니다.