datawire/ambassador-envoy Docker 镜像 - 轩辕镜像

Envoy + Ambassador外部认证HTTP过滤器镜像

镜像概述和主要用途

该镜像基于Envoy代理，集成了Ambassador的外部认证HTTP过滤器，旨在为服务网格或微服务架构中的服务提供便捷的外部认证解决方案。通过该镜像，用户可快速部署具备外部认证能力的代理服务，实现对HTTP请求的认证逻辑处理，增强服务访问的安全性。

主要用途：作为服务代理接收并处理HTTP请求，通过集成的Ambassador外部认证过滤器与外部认证服务交互，完成请求的认证校验，适用于需要集中管理认证逻辑的服务架构场景。

核心功能和特性

• Envoy基础代理能力：提供标准的Envoy代理功能，包括流量路由、负载均衡、TLS终止、HTTP/2支持、健康检查等。
• Ambassador外部认证HTTP过滤器：集成Ambassador开发的外部认证HTTP过滤器，支持与外部认证服务（如OAuth2服务、JWT验证服务、自定义认证服务等）集成。
• 灵活的认证策略配置：支持通过配置文件定义认证规则，包括指定认证服务地址、认证请求路径、超时时间、失败处理策略（如拒绝请求或允许通过）等。
• 轻量级集成：无需独立部署Ambassador网关，直接在Envoy中集成认证过滤器，简化服务架构，降低部署复杂度。

使用场景和适用范围

• 服务网格微服务认证：在Istio、Linkerd等服务网格环境中，作为sidecar代理为微服务提供外部认证，确保只有通过认证的请求才能访问服务。
• API网关认证处理：作为API网关的组成部分，对进入的API请求进行集中认证校验，统一管理API访问权限。
• 多服务统一认证：适用于需要为多个服务提供统一认证逻辑的场景，通过外部认证服务集中处理认证逻辑，避免在各服务中重复实现认证功能。
• 动态认证策略场景：支持根据请求路径、HTTP方法、请求头（Headers）等动态调整认证策略，满足复杂业务场景下的差异化认证需求。

详细使用方法和配置说明

基本部署命令

通过docker run命令快速启动容器，需挂载Envoy配置文件以启用外部认证过滤器：

bash
docker run -d \
  --name envoy-auth-proxy \
  -p 8080:8080 \  # 代理服务端口（接收客户端请求）
  -p 9901:9901 \  # Envoy管理端口（用于监控和配置查询）
  -v /host/path/to/envoy-config.yaml:/etc/envoy/envoy.yaml \  # 挂载本地Envoy配置文件
  [镜像名称]

核心配置说明

Envoy配置文件示例

需在Envoy配置文件中定义外部认证过滤器，以下为关键配置片段：

yaml
static_resources:
  listeners:
    - name: main
      address:
        socket_address: { address: 0.0.0.0, port_value: 8080 }
      filter_chains:
        - filters:
            - name: envoy.http_connection_manager
              typed_config:
                "@type": type.googleapis.com/envoy.extensions.filters.network.http_connection_manager.v3.HttpConnectionManager
                stat_prefix: ingress_http
                route_config:
                  name: local_route
                  virtual_hosts:
                    - name: local_service
                      domains: ["*"]
                      routes:
                        - match: { prefix: "/" }
                          route: { cluster: target_service }  # 目标服务集群
                http_filters:
                  # 外部认证过滤器（需放在router过滤器之前）
                  - name: envoy.filters.http.ext_authz
                    typed_config:
                      "@type": type.googleapis.com/udpa.type.v1.TypedStruct
                      type_url: type.googleapis.com/envoy.extensions.filters.http.ext_authz.v3.ExtAuthz
                      value:
                        http_service:
                          server_uri:
                            uri: [***]  # 外部认证服务地址（需替换为实际地址）
                            cluster: auth_service_cluster  # 认证服务集群名称
                            timeout: 5s  # 认证请求超时时间
                          path_prefix: "/check"  # 认证服务的请求路径
                          authorization_request:
                            allowed_headers:
                              patterns:
                                - exact: "Authorization"  # 允许传递给认证服务的请求头
                        failure_mode_allow: false  # 认证服务不可用时是否允许请求通过（false为拒绝）
                  # 路由过滤器（必须放在最后）
                  - name: envoy.filters.http.router
                    typed_config: {}
  clusters:
    - name: target_service  # 目标服务集群（需替换为实际服务地址）
      connect_timeout: 0.25s
      type: STRICT_DNS
      lb_policy: ROUND_ROBIN
      load_assignment:
        cluster_name: target_service
        endpoints:
          - lb_endpoints:
              - endpoint:
                  address:
                    socket_address: { address: target-service, port_value: 80 }
    - name: auth_service_cluster  # 认证服务集群（需与上述server_uri.cluster对应）
      connect_timeout: 0.25s
      type: STRICT_DNS
      lb_policy: ROUND_ROBIN
      load_assignment:
        cluster_name: auth_service_cluster
        endpoints:
          - lb_endpoints:
              - endpoint:
                  address:
                    socket_address: { address: auth-service, port_value: 8080 }  # 认证服务地址

关键配置参数说明

注意事项

• 配置文件挂载：必须通过-v参数挂载本地Envoy配置文件，配置文件中需正确定义外部认证过滤器及相关集群信息。
• 认证服务可达性：确保容器能够访问配置的外部认证服务（可通过Docker网络、服务发现等方式实现）。
• 配置验证：启动前建议通过Envoy的--mode validate参数验证配置文件合法性：

  bash
  docker run --rm -v /host/path/to/envoy-config.yaml:/etc/envoy/envoy.yaml [镜像名称] --mode validate -c /etc/envoy/envoy.yaml
  

• 参考文档：更多配置细节可参考Ambassador官方文档及Envoy外部认证过滤器文档。