使用ISTIO的信任链内部和外部运行网格的服务之间的MTL

Question

我知道我可以为其城堡组件配置Istio，以使用我提供的root X509证书 +私钥。我可以以一种还使用相同的根来扩展此系统，以向在同一K8S群集中运行的旧工作负载发布证书，然后配置目标规则以从网格内部访问这些工作负载？类似：

---
apiVersion: networking.istio.io/v1alpha3
kind: DestinationRule
metadata:
  name: originate-mtls
spec:
  host: mymtls-app.legacy.svc.cluster.local
  trafficPolicy:
    portLevelSettings:
    - port:
        number: 8443
      tls:
        mode: ISTIO_MUTUAL
        sni: mymtls-app.legacy.svc.cluster.local

以上可以工作吗？除上述内容以外，我还需要其他配置吗？我可能无法运行Spiffe/Spire来管理网格外工作负载的证书 - 这使Spiffe -FeDeration解决方案像这样对我来说有点遥不可及。但这在任何情况下似乎也不是完全支持的机制。

我已经能够使用单独的证书层次结构来配置MTL，我必须通过秘密注入该层次结构并将其安装到有问题的Pods/SideCars中（图解了在这里）。