如何将外部服务客户端证书（不带istio side-car）添加到istio envoy代理的信任库中？

Question

我有一个带有istio side-car的服务和一个没有istio side-car的外部客户。我想在它们之间建立相互的tls通信。 我为默认名称空间创建了一个策略，以仅允许相互tls。

apiVersion: "authentication.istio.io/v1alpha1"
kind: "Policy"
metadata:
  name: "default"
  namespace: "default"
spec:
  peers:
  - mtls: 
      mode: STRICT

我将istio侧车的cert-chain.pem公共证书添加到外部客户的信任库中。

类似地，如何将我的外部客户的证书添加到istio envoy代理的信任库中？

我尝试按照here的说明将注释添加到边车中，但是在握手过程中仅完成了服务器Hello（因为我的外部服务的公共证书不在服务器的边车中）

我是istio的新手，如果有人可以提供帮助，我将不胜感激？