De schakelaar die niemand als eerste wil omzetten
“mTLS is geactiveerd”, zegt het team. Bij navraag staat de mesh-default sinds de invoering op PERMISSIVE. Dat is geen “geactiveerd”. Dat is een “misschien”.
- Datum
- Onderwerp
- mTLS
- Bronnen
- 3
- Leestijd
- 2 min
- Versie
- Vertaling
PERMISSIVE betekent: de sidecar accepteert mTLS, maar ook cleartext. Als migratietoestand is dat precies goed, niemand wil bij de invoering het halve landschap slopen. Als blijvende toestand betekent het versleuteling “meestal”. Hoeveel cleartext er nog onderweg is, weet niemand. Report #1 laat groeten: veilig op gevoel.
Afbeelding als tekst
Stapsgewijs pad van PERMISSIVE naar STRICT: de uitgangssituatie laat mTLS en cleartext parallel toe, het cleartext-aandeel is onbekend, daarna wordt eerst per namespace en ten slotte mesh-breed aangescherpt. Vóór elke stap staat een meet-gate op basis van istio_requests_total met het label connection_security_policy, daaronder het rollback-pad terug op PERMISSIVE als één enkele apply.
De weg naar STRICT is geen sprong in het diepe, maar een meetproces.
Eerst observeren: istio_requests_total draagt het label connection_security_policy mee. Eén query, en jullie zien welke verbindingen nog zonder mutual_tls lopen. Dezelfde telemetrie als in report #9, dit keer als migratieradar.
Daarna stapsgewijs aanscherpen: PeerAuthentication met mode: STRICT eerst per workload of namespace, daar waar de metriek nul cleartext laat zien. Hangt er toch nog een legacy-client aan, dan valt die afzonderlijk op in plaats van in één grote knal. Mesh-breed komt de schakelaar als laatste, wanneer de restlijst leeg is. En het rollback-pad is benoemd voordat iemand schakelt: de PeerAuthentication terug op PERMISSIVE, één apply, geen redeploy.
Aan de kant van de beslissers is het verschil groter dan het klinkt. “Versleuteling staat aan” is een intentieverklaring. “Cleartext is technisch onmogelijk, hier is de metriek” is een bewijs. Een auditor vraagt precies naar die tweede zin.
Wie bij PERMISSIVE blijft staan, heeft de verhuisdoos nooit uitgepakt en noemt de woning ingericht.
Eén klus blijft daarna toch liggen: mTLS stelt netjes vast WIE er praat. Het zegt geen woord over wie er MAG praten. Daarover volgende week.
