Service-Mesh: Kong Mesh rotiert den Zugriff auf Zertifizierungsstellen

Kong hat neben Kuma 1.3 eine neue Version für Kong Mesh bekannt gegeben. Kong Mesh 1.4 basiert auf Kuma, einem Open-Source-Service-Mesh. Das auf Envoy aufsetzende Service-Mesh wird wie der Proxy als Open-Source-Projekt von der Cloud Native Computing Foundation (CNCF) betreut. Während Kong Mesh 1.4 die CA Rotation (Certificate Authority) automatisiert, führt Kuma einen neuen permissiven Modus für mTLS ein.

Neuer permissiver Modus für Kuma

Das neue Kuma-Release bringt Unterstützung für mTLS (mutual TLS Authentication) im sogenannten Permissive Mode, zusätzlich zum bisherigen Strict Mode. Der neue Modus soll eine einfachere Migration bestehender Anwendungen in das Service-Mesh ermöglichen, indem er mehr Flexibilität bei der Validierung der Proxy-Zertifikate der Datenebene bei eingehenden Requests mit sich bringt.

Vollautomatisierte CA-Rotation

Das auf den Enterprise-Einsatz ausgelegte Service-Mesh von Kong bietet in der neuen Version unter anderem eine offenbar vollautomatisierte CA-Rotation, sofern mTLS aktiviert ist – eine Ergänzung zu den bereits vorhandenen mTLS-Data-Plane-Proxy-Zertifikatsrotationen. Des Weiteren automatisieren die Kong-Entwickler mit dem Update den Lifecycle der Verwaltung von TLS und Zero-Trust innerhalb eines Service-Mesh. Mit der neuen CA-Rotation ersetzt Kong Mesh automatisch die CAs in einer "Mesh"-Ressource ohne Ausfallzeit und stellt die Data-Plane-Proxy-Zertifikate automatisch mit der neuen CA neu bereit.

Kong bietet Entwicklerinnen und Entwicklern zudem eine neue Service-Map-Topologie-Ansicht, die sämtliche Abhängigkeiten des Service-Traffics grafisch darstellt, beispielsweise Informationen zur Anzahl der Requests und Fehlerraten. Die neue Ansicht wird als offizielles Grafana-Dashboard ausgeliefert und lässt sich über kumactl install metrics automatisch installieren.

Neu ist zudem die "Virtual Outbound"-Richtlinie zum Anpassen von Hostnamen und Ports bei der Kommunikation mit Data-Plane-Proxys. Laut Ankündigungsbeitrag hat das Kong-Entwicklerteam zudem die Unterstützung für zwischengeschaltete CAs bei der Verwendung von mTLS überarbeitet. Weitere Informationen zu Kong Mesh 1.4 und Kuma 1.3 finden sich im Beitrag auf die offiziellen Blog von Kong.

(mdo)