用禁用路由实施Enkoy OAuth2过滤器

Question

我部署了一个特使作为副车来管理OAuth2。一切对于所有资源都很好，并且客户端被重定向到OIDC以进行身份​​验证。 这是我的conf的一部分（在掌舵图中进行管理）：

      - name: envoy.filters.network.http_connection_manager
        typed_config:
          "@type": type.googleapis.com/envoy.extensions.filters.network.http_connection_manager.v3.HttpConnectionManager
          access_log:
          - name: envoy.access_loggers.file
            typed_config:
              "@type": type.googleapis.com/envoy.extensions.access_loggers.file.v3.FileAccessLog
              path: /dev/stdout
          codec_type: auto
          stat_prefix: ingress_http
          route_config:
            name: local_route
            virtual_hosts:
            - name: my-service
              domains:
              - "*"
              routes:
              - match:
                  prefix: "/"
                route:
                  cluster: my-service
          http_filters:
          - name: envoy.filters.http.oauth2
            typed_config:
              "@type": type.googleapis.com/envoy.extensions.filters.http.oauth2.v3.OAuth2
              config:
                token_endpoint:
                  cluster: {{ .Values.back.envoy.oidc.name }}
                  uri: https://{{ .Values.back.envoy.oidc.address }}/oidc/token
                  timeout: 5s
                authorization_endpoint: https://{{ .Values.back.envoy.oidc.address }}/oidc/authorize
                redirect_uri: "%REQ(x-forwarded-proto)%://%REQ(:authority)%/oidc/callback"
                redirect_path_matcher:
                  path:
                    exact: /oidc/callback
                signout_path:
                  path:
                    exact: /oidc/signout
                credentials:
                  client_id: {{ required "back.envoy.oidc.client_id is required" .Values.back.envoy.oidc.client_id }}
                  token_secret:
                    name: token
                    sds_config:
                      resource_api_version: V3
                      path: "/etc/envoy/token-secret.yaml"
                  hmac_secret:
                    name: hmac
                    sds_config:
                      resource_api_version: V3
                      path: "/etc/envoy/hmac-secret.yaml"
                forward_bearer_token: true
                # (Optional): defaults to 'user' scope if not provided
                auth_scopes:
                - user
                - openid
                - email
                - homelan_devices_read
                - homelan_topology_read
                - homelan_devices_write
                # (Optional): set resource parameter for Authorization request
                #resources:
                #- oauth2-resource
                #- http://example.com
          - name: envoy.filters.http.router
            typed_config: {}

现在，我希望某些裸露的资源不需要经过身份验证。 我在DOC中看到OAuth过滤器DOC“使用每个过滤器配置，将此空置为特定路线禁用OAuth2。” （请参阅 https://www.envoyproxy.io/docs/envoy/envoy/envoy/latest/latest/api-v3/ap-i-v3/extensions/filters/filters/filters/filters/filters/filters/httpppp/httppp/oauthv3/oauthv3/oauth2/oauth2/oaut v3/oautaut v3/oaut.oaut.oaua aut.oaua aut.oaua aut。 Proto＃Envoy-V3-API-MSG-延伸器http-oauth2-v3-oauth2config ） 这个短语使我认为这可能是可能的。 我尝试管理它通过以这种方式更改我的conft virtt virtual_host：

            virtual_hosts:
            - name: no-oauth
              domains: ["*"]
              typed_per_filter_config:
                envoy.filters.http.oauth2:
                  "@type": type.googleapis.com/envoy.extensions.filters.http.oauth2.v3.OAuth2
              routes:
              - match:
                  prefix: "/api/v1/myResource1"
                route:
                  cluster: my-service
            - name: my-service
              domains: ["*"]
              routes:
              - match:
                  prefix: "/api/v1/myResource2"
                route:
                  cluster: my-service

我有错误：[crialed] [main] [source/server/server.cc：117]错误初始化配置'/etc/envoy/envoy.yaml'：the：the Filter Envoy.filters.http.oauth2不支持虚拟主机特定配置

吗？有人是否使用禁用路线实现Envoy OAuth2过滤器？

Answer 1

看完我的特使日志后，我意识到路径被称为标题“：路径”。
pass_through_matcher数学标题。

然后只添加：

pass_through_matcher:
  - name: ":path"
    prefix_match: "/healthz"
  - name: ":path"
    prefix_match: "/api/v1/myResource1"

在没有LUA过滤器的情况下，在我的conf中（请参阅我以前的答案）。

Answer 2

有关信息，我找到了一个解决方法：

在OAuth2 One之前，我添加了一个LUA过滤器：

          - name: envoy.filters.http.lua
            typed_config:
              "@type": type.googleapis.com/envoy.extensions.filters.http.lua.v3.Lua
              inline_code: |
                function envoy_on_request(request_handle)
                  request_handle:headers():add("X-Path", request_handle:headers():get(":path"))
                end

为了将路径添加到标题中。
然后，我可以使用此元素的conf oauth2：

• pass_through_matcher
  （重复config.route.v3.headermatcher）任何与任何匹配者匹配的请求将通过无OAUTH验证。

因此，我将其添加到我的OAuth2过滤器中：

                pass_through_matcher:
                  - name: "X-path"
                    prefix_match: "/healthz"
                  - name: "X-path"
                    prefix_match: "/api/v1/myResource1"

然后我的/api/v1/myResource1请求（和healthz也）不需要身份验证（从OAuth2中禁用），而my/api/v1/myResource2请求需要它。

我仍然有一个未解决的问题：
OAuth过滤器文档的意思是：“使用每个过滤器配置，将此空白于将其空白于特定路由的OAuth2。”