istio - 如何将 3rd 方证书颁发机构从秘密中添加到 Istio 的 Citadel？

Question

在我的网格中，我通过 TLS 连接到第 3 方服务（特别是Strimzi 的 Kafka，它在同一个 k8 集群中，但没有 Istio sidecar）。通常我会安装 Java 服务所需的证书颁发机构，但是随着 Istio 的终止，我不知道该怎么做。如果我将公共证书放在一个秘密中，我是否可以让秘密发现服务 (SDS) 帮助在 Envoy 代理上管理它（类似于Secure Ingress SDS，但用于网格内）？

我已经阅读了这个文档，但它似乎是关于替换生成的证书，我不想这样做（我喜欢集群内的自动维护）。 https://istio.io/docs/tasks/security/plugin-ca-cert/

我还添加了第 3 方 CA 作为该答案中指定的 /etc 的挂载，但 Envoy 并未将它们作为证书拾取（通过日志和 istioctl 工具检查）。

如何向 Istio Citadel 添加额外的证书颁发机构，以便将它们交付给安全捆绑包中的 Envoy 代理？

标签： istioenvoyproxy