OpenShift ServiceMesh 中基于 JWT 声明的路由无法正常工作

Question

我正在尝试利用 OpenShift Service Mesh 执行一些基本的基于 JWT 声明的路由。 OpenShift 版本是 4.6.23。 RedHat OpenShift Service Mesh 版本为 2.1.1-0。

下面是我用来在 OCP 集群上设置 ServiceMesh 的 ServiceMeshControlPlane 资源：

apiVersion: maistra.io/v2
kind: ServiceMeshControlPlane
metadata:
  name: basic
  namespace: istio-system
spec:
  version: v2.0
  tracing:
    type: Jaeger
    sampling: 10000
  addons:
    jaeger:
      name: jaeger
      install:
        storage:
          type: Memory
    kiali:
      enabled: true
      name: kiali
    grafana:
      enabled: true

基本上，我尝试遵循此 Istio 文档页面 测试 JWT 声明路由

这是我正在使用的 JWT 令牌的结构：

{
    "iss": "https://eu-de.appid.cloud.ibm.com/oauth/v4/6f631e4d-7ecc-4a1c-8cf8-ea2d0a5c32e6",
    "exp": 1646244105,
    "aud": [
        "f7f1e8bf-72d0-4e7d-90ff-cb76a8079c46"
    ],
    "sub": "99bb916e-8f99-4e0a-8b1f-72c2171448d1",
    "email_verified": true,
    "amr": [
        "cloud_directory"
    ],
    "iat": 1646240505,
    "tenant": "6f631e4d-7ecc-4a1c-8cf8-ea2d0a5c32e6",
    "scope": "openid appid_default appid_readuserattr appid_readprofile appid_writeuserattr appid_authenticated",
    "roles": [
        "teamA"
    ]
}

RequestAuthentication 定义：

apiVersion: security.istio.io/v1beta1
kind: RequestAuthentication
metadata:
  name: jwt-auth
  namespace: sample-mesh
spec:
  jwtRules:
  - issuer: "https://eu-de.appid.cloud.ibm.com/oauth/v4/6f631e4d-7ecc-4a1c-8cf8-ea2d0a5c32e6"
    jwksUri: "https://eu-de.appid.cloud.ibm.com/oauth/v4/6f631e4d-7ecc-4a1c-8cf8-ea2d0a5c32e6/publickeys"

以及VirtualService 应该处理路由：

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: catalog
spec:
  hosts:
  - '*'
  gateways:
  - sample-mesh-gateway
  http:
  - match:
    - headers:
        "@request.auth.claims.roles":
          exact: teamA
    route:
    - destination:
        host: catalog
        subset: version-v1
  - route:
    - destination:
        host: catalog
        subset: version-v2

然后，当 roles 声明包含值 teamA 时，我希望流量被路由到目录 v1。但实际上，我观察到即使令牌在声明中具有所需的值，流量也始终会路由到目录 v2。

配置中有什么我遗漏的吗？ 谢谢 ：-）