什么是 Envoy Gateway 安全策略？
Envoy Gateway 中的安全策略 (SecurityPolicy) 是 Envoy Gateway 对 Kubernetes Gateway API 的一个扩展资源。SecurityPolicy 采用了 Gateway API 的 Policy Attachment 机制来对 Gateway API 进行扩展，为 Envoy Gateway 实现了 CORS，JWT，OIDC，Basic Auth 等强大的安全能力。
什么是 HTTP Basic Authentication ?
HTTP Basic Authentication 是一种用于 Web 应用程序的简单用户身份验证协议。在客户端请求访问受保护资源时，服务器会返回 HTTP 401 Unauthorized 响应，并在 WWW-Authenticate头 中指定 Basic 身份验证。客户端接着发送包含 Base64 编码的用户名和密码的 Authorization 头。服务器解码这些凭证，与存储的用户信息进行比较。若匹配成功，服务器允许对资源的访问。一个使用 Basic Authentication 的 HTTP 请求的例子如下：
GET /resource/ HTTP/1.1
Host: example.com
Authorization: Basic YWxhZGRpbjpvcGVuc2VzYW1l
HTTP Basic Authentication 虽然简单，但是在很多场景下仍然被大量使用，也是网关中的一个常用的场景。但不知为何 Envoy 中之前一直并没有提供 HTTP Basic Authentication 的能力。Envoy Gateway 也因此无法提供 Basic Authentication 能力。为了解决该问题，我前段时间在 Envoy 中实现了 HTTP Basic Auth Filter，并基于该 Filter 在 Envoy Gateway 中提供了 HTTP Basic Authentication 的能力。
- Envoy HTTP Basic Auth Filter：https://github.com/envoyproxy/envoy/pull/30079
- Envoy Gateway HTTP Basic Authentication：https://github.com/envoyproxy/gateway/pull/2224
如何在 Envoy Gateway 中配置 HTTP Basic Authentication ?
首先参照 Envoy Gateway Quickstart 安装 Envoy Gateway 和例子程序。
Envoy Gateway 要求使用 .htpasswd 文件格式来存储用户名和密码。.htpasswd 文件可以通过 htpasswd 命令行工具生成。例如：
$ htpasswd -cbs .htpasswd foo bar
Adding password for user foo
上面的命令会在当前目录下生成一个名为 .htpasswd 的文件，内容如下：
foo:{SHA}Ys23Ag/5IOWqZCw9QGaVDdHwH00=
其中 foo 是用户名，{SHA}Ys23Ag/5IOWqZCw9QGaVDdHwH00= 是密码的 SHA1 哈希值。可以看到，密码是经过 SHA1 哈希的，不会将密码原文存储在 .htpasswd 文件中。因此，.htpasswd 文件不存在密码泄露的风险。
我们还可以通过 htpasswd 命令行工具来添加继续添加更多的用户名和密码。例如：
$ htpasswd -bs .htpasswd foo1 bar1
这样，.htpasswd 文件中就会有两个用户名和密码了：
foo:{SHA}Ys23Ag/5IOWqZCw9QGaVDdHwH00=
foo1:{SHA}djZ11qHY0KOijeymK7aKvYuvhvM=
接下来，我们采用刚才生成的 .htpasswd 文件来创建一个 Kubernetes Secret，用于存储用户名和密码。
$ kubectl create secret generic basic-auth --from-file=.htpasswd
secret
查看该 Secrect 的内容如下：
apiVersion: v1
data:
.htpasswd: Zm9vOntTSEF9WXMyM0FnLzVJT1dxWkN3OVFHYVZEZEh3SDAwPQpmb28xOntTSEF9ZGpaMTFxSFkwS09pamV5bUs3YUt2WXV2aHZNPQo=
kind: Secret
metadata:
creationTimestamp: "2023-11-28T12:24:25Z"
name: basic-auth
namespace: default
resourceVersion: "2227303"
uid: 0ee724b1-68a8-41c6-bf63-85b75f1e4857
type: Opaque
可以看到，.htpasswd 文件中的内容已经被 Base64 编码后存在了 Secret 的 .htpasswd 这个 key 中。这样，我们就可以在 Envoy Gateway 中使用该 Secret 来配置 HTTP Basic Authentication 了。
cat <<EOF | kubectl apply -f -
apiVersion: gateway.envoyproxy.io/v1alpha1
kind: SecurityPolicy
metadata:
name: basic-auth-example
spec:
targetRef:
group: gateway.networking.k8s.io
kind: HTTPRoute
name: backend
basicAuth:
users:
name: "basic-auth"
EOF
上面的配置会将 HTTP Basic Authentication 应用到名为 backend 的 HTTPRoute 上。这样，当客户端请求访问该 HTTPRoute 时，就需要提供用户名和密码了。除了 HTTPRoute，Envoy Gateway 还支持将 SecurityPolicy 应用到 Gateway 上，只要将 targetRef 指向 Gateway 即可。
尝试不带用户名和密码访问一下该 HTTPRoute：
curl -v -H "Host: www.example.com" "http://${GATEWAY_HOST}/"
可以看到，由于没有认证信息，请求被拒绝了：
...
< HTTP/1.1 401 Unauthorized
< content-length: 58
< content-type: text/plain
< date: Tue, 28 Nov 2023 12:43:32 GMT
< server: envoy
<
* Connection #0 to host 127.0.0.1 left intact
User authentication failed. Missing username and password.
接下来，我们尝试使用正确的用户名和密码访问一下该 HTTPRoute：
curl -v -H "Host: www.example.com" -u 'foo:bar' "http://${GATEWAY_HOST}/"
可以看到，请求被 Envoy Gateway 认证通过，发送到了后端的服务上。
...
< HTTP/1.1 200 OK
< content-type: application/json
< x-content-type-options: nosniff
< date: Wed, 29 Nov 2023 12:13:28 GMT
< content-length: 556
< x-envoy-upstream-service-time: 0
< server: envoy
...
总结
本文介绍了 Envoy Gateway 中的安全策略 (SecurityPolicy) 的基本概念，以及如何使用 HTTP Basic Authentication 来保护 HTTPRoute。HTTP Basic Authentication 虽然简单，但是在很多场景下仍然被大量使用，也是网关中的一个常用的场景。支持 HTTP Basic Authentication 也让 Envoy Gateway 可以更好地满足这些场景下的应用。后续文章还会继续介绍 Envoy Gateway 安全策略的其他能力，敬请期待。
参考资料
- Envoy HTTP Basic Auth Filter：https://github.com/envoyproxy/envoy/pull/30079
- Envoy Gateway HTTP Basic Authentication：https://github.com/envoyproxy/gateway/pull/2224
- Envoy Gateway Quickstart：https://gateway.envoyproxy.io/v0.6.0/user/quickstart/
- Envoy Gateway Security Policy：https://gateway.envoyproxy.io/v0.6.0/api/extension_types/#securitypolicy