VIP20

本课程属于：002-服务网格流量拓扑 云原生架构与平台工程 · 共 20 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

服务网格流量拓扑安全实践：mTLS双向认证与证书轮换

共计 30 章节

点击此处阅读海量试读课程：100+行业、1000+细分领域

服务网格概述

什么是服务网格 · 服务网格的架构（数据平面与控制平面） · 服务网格的核心价值（可观测性

服务网格概述什么是服务网格

服务网格安全挑战

零信任网络模型 · 东西向流量加密的必要性 · 传统mTLS部署的痛点（证书管理

服务网格安全挑战零信任网络模型

mTLS双向认证原理

TLS握手过程 · 单向TLS vs 双向TLS · 客户端证书与服务器证书的验证流程

mTLS双向认证原理

Istio安全架构

Istio Citadel（证书签发… · Sidecar代理（Envoy）的证… · SPIFFE标准与身份标识

Istio安全架构

Istio mTLS配置实战

全局启用mTLS（PeerAuthe… · 目标规则（DestinationRu… · 命名空间级别的策略覆盖

mTLS流量拓扑可视化

使用Kiali查看服务间的加密流量 · 识别未加密的异常连接 · mTLS策略生效前后的拓扑对比

mTLS流量拓扑可视化

证书生命周期管理

证书签发（CSR） · 证书有效期（TTL） · 证书吊销（CRL）

证书生命周期管理CSR

Istio证书轮换机制

自动轮换原理（Citadel监控证书… · 轮换触发条件 · 轮换期间的流量中断风险分析

Istio证书轮换机制

手动证书轮换演练

使用istioctl命令手动触发证书… · 验证新证书生效 · 回滚方案

手动证书轮换演练istioctl

证书轮换策略优化

调整证书TTL（短TTL vs 长T… · 轮换窗口设置 · 优雅轮换（Graceful Rota…

证书轮换策略优化TTL

mTLS与授权策略集成

AuthorizationPolic… · 基于mTLS身份的RBAC · 拒绝未认证请求的规则编写

mTLS授权策略集成

多集群mTLS互信

跨集群服务通信的证书信任链 · 根证书统一管理 · 多集群SPIFFE联邦

mTLS性能开销分析

加密握手延迟 · CPU负载测试 · 连接复用（Keep-Alive）对性…

mTLS性能开销分析

Envoy代理的TLS配置详解

Envoy TLS上下文（TlsCo… · SDS（Secret Discove… · 证书热更新

SDS（Secret Discovery Service）原理

SDS与文件挂载证书的对比 · SDS API调用流程 · SDS故障排查

证书存储安全

Kubernetes Secret管… · 使用Vault或Cert-Manag… · 私钥加密存储最佳实践

证书存储安全Kubernetes

mTLS故障排查工具

istioctl analyze · Envoy admin接口（/cer… · /clusters）

mTLS故障排查工具

常见mTLS故障场景

证书过期导致服务中断 · SAN（Subject Altern… · 根证书不一致

mTLS与Ingress Gateway集成

网关侧mTLS配置（TLS term… · 客户端证书验证

mTLS与Egress Gateway集成

出口流量加密 · 外部服务的证书信任 · Egress网关的mTLS终止

证书轮换自动化

使用Cert-Manager自动签发… · Webhook集成 · 轮换策略的CI/CD流水线

证书轮换自动化Cert-Manager

mTLS监控与告警

Prometheus指标（istio… · 证书过期时间） · Grafana仪表盘

mTLS安全审计

审计日志记录（Envoy访问日志） · 证书指纹追踪 · 合规性检查（PCI-DSS

mTLS安全审计

mTLS与网格扩展（Mesh Expansion）

虚拟机（VM）加入网格的mTLS配置 · WorkloadEntry证书分发

mTLS降级与回退策略

Permissive模式（允许明文与… · 逐步迁移到Strict模式 · 回滚方案

mTLS与可观测性集成

TLS握手阶段的链路追踪（Zipki… · 加密流量的服务依赖图

mTLS可观测性集成

mTLS与安全策略的冲突解决

PeerAuthentication… · 策略覆盖导致的意外拒绝

mTLS安全策略的冲突解…

mTLS在服务网格中的高级用例

基于mTLS的灰度发布（金丝雀） · mTLS与熔断器（Circuit B…

mTLS服务网格

mTLS与外部CA集成

使用外部企业CA签发网格证书 · 证书链深度控制 · 离线根CA的冷存储

课程总结与最佳实践

mTLS部署清单 · 证书轮换SOP · 常见陷阱与规避建议

课程总结最佳实践