当前位置： 首页 > article >正文

MOSN（Modular Open Smart Network）-04-TLS 安全链路

article 2026/2/21 13:25:21

前言

大家好，我是老马。

sofastack 其实出来很久了，第一次应该是在 2022 年左右开始关注，但是一直没有深入研究。

最近想学习一下 SOFA 对于生态的设计和思考。

sofaboot 系列

SOFAStack-00-sofa 技术栈概览

MOSN（Modular Open Smart Network）-00-简单聊一聊

MOSN（Modular Open Smart Network）-01-是一款主要使用 Go 语言开发的云原生网络代理平台

MOSN（Modular Open Smart Network）-02-核心概念

MOSN（Modular Open Smart Network）-03-流量劫持

MOSN（Modular Open Smart Network）-04-TLS 安全链路

MOSN（Modular Open Smart Network）-05-MOSN 平滑升级原理解析

MOSN（Modular Open Smart Network）-06-MOSN 多协议机制解析

MOSN（Modular Open Smart Network）-07-Sidecar 模式

MOSN（Modular Open Smart Network）-08-MOSN 扩展机制解析

MOSN 的 TLS 安全能力

本文将向您展示 MOSN 的 TLS 安全能力。

MOSN 支持通过 Istio Citadel 的证书签发方案，基于 Istio 社区的 SDS（Secret Discovery Service）方案为 Sidecar 配置证书，支持证书动态发现和热更新能力。

为了支持更高级的安全能力，MOSN 没有使用 Citadel 的证书自签发能力，而是通过对接内部 KMS 系统获取证书。同时提供证书缓存和证书推送更新能力。

我们先来看看 MOSN 证书方案的架构图，如下图所示：

MOSN 证书方案

各组件职能如下：

  • Pilot：负责 Policy、SDS 配置下发，为简化复杂度，图中未标出
  • Citadel：Citadel 作为 Certificate Provider，同时作为 MCP Server 为 Citadel Agent 提供 Pod、CR 等资源
  • Citadel Agent：提供 SDS Server 服务，为 MOSN、DB Sidecar、Security Sidecar 提供 Certificate 和 CR 下发能力
  • KMS：密钥管理系统负责证书签发

证书获取流程

对整体架构有个大致理解后，我们分解下 Sidecar 获取证书的流程，如下图所示：

证书获取流程

补充说明下图中的每一步环节：

  1. Citadel 与 Citadel Agent（NodeAgent）组件通过 MCP 协议（Mesh Configuration Protocol）同步 Pod 和 CR 信息，避免 Citadel Agent 直接请求 API Server 导致 API Server 负载过高
  2. MOSN 通过 Unix Domain Socket 方式向 Citadel Agent 发起 SDS 请求
  3. Citadel Agent 会进行防篡改校验，并提取 appkey
  4. Citadel Agent 携带 appkey 请求 Citadel 签发证书
  5. Citadel 检查证书是否已缓存，如果缓存证书未过期，Citadel 将直接响应缓存证书
  6. 证书不在缓存中，Citadel 会基于 appkey 构造证书签发请求，向 KMS 申请签发证书
  7. KMS 会将签发的证书响应回 Citadel，另外 KMS 也支持证书过期轮换通知
  8. Citadel 收到证书后，会将证书传递给对应的 Citadel Agent
  9. Citadel Agent 收到证书后，会在内存中缓存证书，并将证书下发给 MOSN

相关文章：

MOSN（Modular Open Smart Network）-04-TLS 安全链路

前言 大家好，我是老马。 sofastack 其实出来很久了，第一次应该是在 2022 年左右开始关注，但是一直没有深入研究。 最近想学习一下 SOFA 对于生态的设计和思考。 sofaboot 系列 SOFAStack-00-sofa 技术栈概览 MOSN（Modular O…...

编程日记 2026/2/19 12:00:52

Softmax 回归 + 损失函数 + 图片分类数据集

Softmax 回归 softmax 回归是机器学习另外一个非常经典且重要的模型，是一个分类问题。 下面先解释一下分类和回归的区别： 简单来说，分类问题从回归的单输出变成了多输出，输出的个数等于类别的个数。 实际上，对于分…...

编程日记 2026/2/12 14:44:26

重温Ubuntu 24.04 LTS

用户调整 # 创建新用户 sudo adduser newusername # 设置新用户的密码 sudo passwd newusername # 将新用户添加到 sudo 组 sudo usermod -aG sudo newusername # 修改ssh访问权限 sudo nano /etc/ssh/sshd_config # 将新用户加入，此时root将无法访问 AllowUsers n…...

编程日记 2026/1/25 22:13:47

FreeRTOS学习（十）：任务调度器挂起与恢复机制详解

FreeRTOS学习（十）：任务调度器挂起与恢复机制详解 文章目录 FreeRTOS学习（十）：任务调度器挂起与恢复机制详解简介一、 任务挂起与恢复的API函数1.1 任务挂起函数1.2 任务恢复函数 二、重要特性与临界区的区别…...

编程日记 2026/2/21 3:31:46

【C++】内存模型分析

在 C 语言中，程序运行时的内存通常被划分为以下几个区域： 代码区（Text Segment）常量区（Constant Segment）全局/静态区（Data Segment，包含静态数据段和 BSS 段）堆区&…...

编程日记 2026/2/20 7:23:22

Vue2+OpenLayers携带请求头加载第三方瓦片数据

目录 一、案例截图 二、安装OpenLayers库 三、代码实现 一、案例截图 在对接一些第三方GIS地图的时候，需要携带请求头来验证身份，从而获取相应的瓦片数据，这时候我们需要改造一下WMTS服务的调用方式，效果如图所示： 二、安装OpenLayers库 npm install ol 三、代码实现…...

编程日记 2026/2/19 13:57:58

智能汽车图像及视频处理方案，支持视频实时拍摄特效能力

在智能汽车日新月异的今天，美摄科技作为智能汽车图像及视频处理领域的先行者，凭借其卓越的技术实力和前瞻性的设计理念，为全球智能汽车制造商带来了一场视觉盛宴的革新。美摄科技推出智能汽车图像及视频处理方案，一个集高效性、智…...

编程日记 2026/2/20 4:26:53

Vue 中如何使用 v-model 实现自定义组件的双向绑定？

在 Vue 中，使用 v-model 实现自定义组件的双向绑定需要遵循一套特定的规则。以下是关于如何实现这一功能的详细步骤和示例。 1. 理解 v-model 在 Vue 中，v-model 实际上是语法糖，它在内部实现了 :value 和 @input 的结合。使用 v-model 的自定义组件需要支持以下两个属性：…...

编程日记 2026/2/12 12:33:48

数据结构--顺序表（实现增删改查）

三个文件（Mytest.c 、MySeqList.c 、 MySeqList.h） Mytest.c测试函数 MySeqList.c 函数定义 MySeqList.h函数声明 增删改查的步骤： 初始化 增加元素 • 尾插：先检查顺序表空间是否足够，若不足则进行扩容&#x…...

编程日记 2026/2/16 19:55:31

【android】补充

3.3　常用布局 本节介绍常见的几种布局用法，包括在某个方向上顺序排列的线性布局，参照其他视图的位置相对排列的相对布局，像表格那样分行分列显示的网格布局，以及支持通过滑动操作拉出更多内容的滚动视图。 3.3.1　线性布局Linea…...

编程日记 2026/2/13 21:51:08

HTML 表单处理进阶：验证与提交机制的学习心得与进度（一）

引言 在前端开发的广袤领域中，HTML 表单处理堪称基石般的存在，是构建交互性 Web 应用不可或缺的关键环节。从日常频繁使用的登录注册表单，到功能多样的搜索栏、反馈表单，HTML 表单如同桥梁，紧密连接着用户与 Web 应用…...

编程日记 2026/2/15 0:46:44

23.linux下电脑健康检查

电脑健康检查 硬盘 工具 sudo apt-get install smartmontools检查命令 sudo smartctl -a /dev/sdb1输出结果 # smartctl 7.2 2020-12-30 r5155 [x86_64-linux-6.8.0-52-generic] (local build) # Copyright (C) 2002-20, Bruce Allen, Christian Franke, www.smartmontools…...

编程日记 2025/12/1 5:00:23

数据库自然连接详解

各类资料学习下载合集 ​​https://pan.quark.cn/s/8c91ccb5a474​​ 数据库自然连接详解 自然连接（Natural Join）是一种在关系型数据库中用于合并两个或多个表的数据的操作。它基于表之间的公共列，自动识别具有相同列名的列，并…...

编程日记 2026/1/25 21:07:47

说说MyBatis一、二级缓存和Spring一二级缓存有什么关系？

大家好，我是锋哥。今天分享关于【说说MyBatis一、二级缓存和Spring一二级缓存有什么关系？】面试题。希望对大家有帮助； 说说MyBatis一、二级缓存和Spring一二级缓存有什么关系？ 1000道 互联网大厂Java工程师 精选面试题-Java资源…...

编程日记 2026/2/15 9:04:14

蓝桥杯题型分布2

蓝桥杯 蓝桥杯题型分类2素数孪生素数素数个数朴素筛法求素数线性筛法求素数 因数分解试除法分解质因数 等差素数列梅森素数组素数素数环找素数(分段筛）连续素数和小明的素数对疑似素数质数拆分纯质数超级质数质数日期质数游戏2魔法阵的能量阿坤老师切割年糕阶乘分解…...

编程日记 2026/2/15 16:46:23

北京交通大学第三届C语言积分赛

作者有言在先： 题解的作用是交流思路，不是抄作业的。可以把重点放在思路分析上而不是代码上，毕竟每个人的代码风格是不一样的，看别人的代码就跟做程序填空题一样。先看明白思路再看代码。 还有就是，deepseek真的很好用…...

编程日记 2025/4/19 7:09:57

ESP32学习 -从STM32工程架构进阶到ESP32架构

ESP32与STM32项目文件结构对比解析 以下是对你提供的ESP32项目文件结构的详细解释，并与STM32（以STM32CubeIDE为例）的常见结构进行对比，帮助你理解两者的差异： 1. ESP32项目文件解析 文件/目录作用STM32对应或差异set…...

编程日记 2025/4/25 7:13:02

vue响应式原理剖析

一、什么是响应式？ 我们先来看一下响应式意味着什么？我们来看一段代码： m有一个初始化的值，有一段代码使用了这个值； 那么在m有一个新的值时，这段代码可以自动重新执行； let m = 20 console.log(m) console.log(m * 2)m = 40上面的这样一种可以自动响应数据变量的代码机…...

编程日记 2026/2/21 10:17:51

【HTML 基础教程】HTML 元素

HTML 文档由 HTML 元素定义。 HTML 元素 开始标签 *元素内容结束标签 *<p>这是一个段落</p><a href"default.htm">这是一个链接</a><br>换行 *开始标签常被称为起始标签&#xff08;opening tag&#xff09;&#xff0c;结束标签常称…...

编程日记 2026/2/12 20:11:14

解锁智能制造新体验：兰亭妙微 UE/UI 设计赋能行业变革

在智能制造时代的滚滚浪潮中&#xff0c;企业的数字化转型不仅是技术的革新&#xff0c;更是用户体验与交互界面的全面升级。然而&#xff0c;许多制造企业在这一转型过程中&#xff0c;面临着一系列 UI/UE 设计难题&#xff0c;严重阻碍了企业的数字化发展进程。兰亭妙微凭借专…...

编程日记 2026/2/15 19:19:11

Element UI实现表格全选、半选

制作如图所示的表格全选、半选&#xff1a; 父组件 <template><div id"app"><SelectHost :hostArray"hostArray" /></div> </template><script> import SelectHost from ./components/SelectHost.vue export default…...

编程日记 2026/2/18 4:36:51

如何使用动作捕捉系统训练人形机器人

随着人形机器人变得越来越先进&#xff0c;使用动作捕捉系统教会它们如何像人类一样移动成为了人形机器人领域正在研究的全新方向。本文探讨了如何使用Xsens技术捕捉精确的人类运动数据&#xff0c;使机器人能够通过人工智能和机器学习安全高效地学习、适应和执行复杂任务。 近…...

编程日记 2026/2/19 5:23:24

Vue.js 和 Vue 3 全面详解指南

1. Vue.js 基础介绍 1.1 什么是 Vue.js Vue.js（简称 Vue）是一个用于构建用户界面的渐进式 JavaScript 框架。与其他框架不同，Vue 被设计为可以逐步采用。Vue 的核心库只关注视图层，易于上手，便于与其他库或既有项目整合。 Vue 由尤雨溪（Evan You）在 2014 年创建。尤雨…...

编程日记 2026/2/14 0:51:03

OpenRAND可重复的随机数生成库

OpenRAND 是一个 C++ 库，旨在通过提供强大且可复制的随机数生成解决方案来促进可重复的科学研究。它是一个简单的仅头文件库，性能可移植，统计稳健，并且易于集成到任何 HPC 计算项目中。 特征 跨平台支持：OpenRAND 旨在跨各种平台无缝工作，包括 CPU 和 GPU。其仅标题库设计…...

编程日记 2025/12/26 9:01:39

内网渗透技术 Docker逃逸技术(提权)研究 CSMSF

目录 如何通过上传的webshell判断当前环境是否是物理环境还是Docker环境 方法一&#xff1a;检查文件系统 方法二&#xff1a;查看进程 方法三&#xff1a;检查网络配置 方法四&#xff1a;检查环境变量 方法五&#xff1a;检查挂载点 总结 2. 如果是Docker环境&#x…...

编程日记 2026/2/20 6:38:18

生活电子常识——cmd不能使用anaconda的python环境，导致输入python打开应用商店

前言 电脑已经安装了anaconda,从自带的Anaconda Prompt (Anaconda3)中是可以识别python环境的&#xff0c;然而切换到cmd时&#xff0c;突然发现cmd中无法识别anaconda的python环境&#xff0c;竟然打开了应用商店让我安装Python&#xff0c;这当然是不对的。 解决 这是因为…...

编程日记 2026/2/14 16:34:54

如何在linux中部署dns服务 主备dns （详细全过程）

环境centos 7.9 主DNS&#xff1a;192.168.60.131 备DNS&#xff1a;192.168.60.134 我以 chenxingyu0.com 指向 192.168.60.200为例 首先是主dns #!/bin/bash# 检查是否为 root 用户 if [ "$(id -u)" ! "0" ]; thenecho "请使用…...

编程日记 2026/2/21 7:48:12

Oracle到达梦数据库迁移：技术要点与实践分享

一、达梦数据库简介 达梦数据库（DM，Dameng Database）是国内自主研发的具有自主知识产权的大型通用数据库管理系统，具备以下显著特点： 1.高性能：高效的存储与计算分离架构：达梦数据库采用先进的存储与计算分离架构，能够根据业务需求灵活分配存储和计算资源，大大提高了…...

编程日记 2026/2/14 13:12:09

word写latex-Mathtype安装成功-方法

MathType安装报错 想在word写latexMathtype, 网上搜教程安装&#xff0c; 结果一直报错一直删重来&#xff0c; 一直报错一直删了重来 一直报错一直删了重来来来&#xff0c; 就这么反反复复一直不好 网上的教程都是教你不是删mathtype, 就是删office 时代变了啊&#x…...

编程日记 2026/2/20 15:09:09

【踩坑日记】springboot 打包后实现类无法找到

试过了所有改什么目录 依赖 clean都以失败告终 最后将实现类的文件名从Impl改成impl宣布成功 记得使用idea自带的重构...

编程日记 2026/2/16 20:13:23