Problèmes de communication entre Pods avec Istio mTLS

Bonjour Chanteur JB

Des erreurs 503 Service Unavailable combinées à des certificats expirés peuvent effectivement indiquer un problème de rotation des certificats mTLS dans Istio. Pour commencer, je vous recommande de vérifier l’état des certificats dans les sidecars Envoy à l’aide de commandes comme istioctl proxy-config secret <pod> afin de confirmer les dates d’expiration et voir si de nouveaux certificats ont bien été distribués.

Vérifiez également les logs du composant Istiod, car c’est lui qui est responsable de la gestion et du renouvellement des certificats. Si la rotation fonctionne correctement, vous devriez voir des certificats valides avec une date de renouvellement récente. Dans certains cas, un problème de connectivité entre les Pods et Istiod ou un redémarrage manqué des proxies peut empêcher la mise à jour des certificats.

Je vous conseille aussi de comparer les certificats présentés par les Pods source et destination afin de confirmer qu’ils appartiennent à la même chaîne de confiance mTLS. Une fois le problème identifié, un redémarrage contrôlé des workloads concernés peut parfois permettre de récupérer rapidement la situation.

J’espère que cela vous aidera à avancer dans le diagnostic. Si cette réponse vous est utile, n’hésitez pas à cliquer sur "Accept Answer", cela pourra également aider d’autres personnes confrontées au même problème