3. 流量拓扑概念

流量拓扑是服务网格安全基线的核心观测维度。在 Istio/Envoy 架构中，每一次服务间调用都包含明确的源（Source）、目标（Destination）、协议（Protocol）、端口（Port）、TLS 状态（mTLS）以及请求路径（Path）。理解这六要素，才能精确编写 OPA 策略来允许或拒绝特定流量。

3.1 流量拓扑六要素定义

3.2 服务网格拓扑图：六要素可视化

下图展示了一个典型的微服务调用链，标注了从 frontend 到 orders 再到 payments 的完整流量拓扑六要素。

3.3 请求路径与网格拓扑的层级关系

在服务网格中，请求路径（Path）是六要素中最细粒度的控制维度。一个完整的网格拓扑图通常包含三个层级：

1. 集群层（Cluster）：Kubernetes 集群边界，决定服务发现范围。
2. 命名空间层（Namespace）：逻辑隔离单元，OPA 策略常以 namespace 作为源/目标分组。
3. 工作负载层（Workload）：具体的 Pod/Service，携带 ServiceAccount 身份。

# values.yaml
trafficTopology:
  - source:
      namespace: "prod-front"
      serviceAccount: "frontend-sa"
    destination:
      host: "orders.prod-biz.svc.cluster.local"
      port: 8080
      protocol: "HTTP"
    tls:
      mode: "STRICT"
    paths:
      - "/api/v1/orders"
      - "/api/v1/orders/*"

3.4 网格拓扑图：命名空间与工作负载视角

下图从命名空间隔离和工作负载身份两个维度，展示更完整的网格拓扑结构，突出 OPA 策略的生效范围。

3.5 六要素在 OPA 策略中的映射

在 OPA 的 input 文档中，Envoy 过滤器会将流量六要素映射为以下字段：

input = {
  "attributes": {
    "source": {
      "namespace": "prod-front",
      "principal": "spiffe://cluster.local/ns/prod-front/sa/frontend-sa"
    },
    "destination": {
      "service": {
        "host": "orders.prod-biz.svc.cluster.local",
        "name": "orders"
      },
      "port": 8080,
      "workload": {
        "labels": {"app": "orders", "version": "v2"}
      }
    },
    "request": {
      "http": {
        "method": "POST",
        "path": "/api/v1/orders",
        "host": "orders.prod-biz.svc.cluster.local:8080"
      }
    },
    "connection": {
      "mtls": true,
      "tls_version": "TLSv1.3"
    }
  }
}

3.6 流量拓扑安全基线检查清单