根据Istio政策，“ peer”和“ origin”是什么意思？

Question

我是安全方面的新手。我刚刚了解了Istio，并了解了其安全性方面。 Istio（https://istio.io/docs/reference/config/istio.authentication.v1alpha1/）中定义的身份验证具有一些我不知道的基本术语：peer和origin。

有人可以解释它的含义和区别吗？ 我的猜测：

• peer =用于服务到服务的通信，因此，对等身份是基于计算机的身份（连接到该计算机的服务帐户）
• origin =用于最终用户与服务进行通信。通常它是基于人的身份，但也可以是服务帐户身份（例如bot用户）。

我的理解正确吗？也许有人可以对它们进行解释和阐述？

谢谢， 阿贡

Answer 1

  

  
• peer =用于服务到服务的通信，因此，对等身份是基于机器的身份（附加到服务帐户   那
  
• machine）origin =用于最终用户与服务的通信。通常是基于人的身份，也可以是服务帐户身份
    （例如漫游器用户）。
  

是的，您理解正确。 Peer用于服务->服务，而origin主要用于最终用户与服务之间的通信。但它也可以用于服务帐户身份。

对等：

  

可用于对等方的身份验证方法列表   身份验证。他们将按顺序进行评估；第一次验证   一个将用于设置对等身份（source.user），另一个用于设置对等身份   属性。如果这些方法均未通过，并且peerisoptional标志为   假（请参阅下文），验证失败将拒绝请求   错误（401）。如果不进行对等身份验证，请将列表留空   必填

来源：

  

可用于来源的身份验证方法列表   身份验证。与同行类似，这些将按顺序进行评估。   第一个验证人将用于设置来源身份，并且   属性（即request.auth.user，request.auth.issuer等）。如果没有   这些方法中的所有方法都通过了，而originisoptional为false（请参见下文），   请求将被拒绝，并显示身份验证失败错误（401）。离开   如果不需要原始身份验证，则列表为空。

也很好阅读Increasing Security with a Service Mesh文章。