Jaegerインストールのセキュリティ保護

バージョン 1.62 最新

このページでは、Jaegerコンポーネント間のペアワイズ接続ごとに整理された、Jaegerに既存のセキュリティメカニズムについて説明します。追加のセキュリティ対策の実装にご協力ください（issue-1718 を参照）。

SDKからエージェントへ

jaeger-agent は非推奨です。OpenTelemetryデータは、(OTLPエクスポーターを備えた)OpenTelemetry SDKから直接**jaeger-collector**に送信できます。または、OpenTelemetry Collectorをローカルエージェントとして使用します。

**jaeger-agent**を含むデプロイメントは、エージェントがコンテナのネットワーク名前空間内でサイドカーとして、またはホストエージェントとして実行される信頼された環境を対象としています。したがって、現在、クライアントとエージェント間のトラフィック暗号化はサポートされていません。

❌ UDP経由でのトレースデータの送信 - TLS/認証なし。
❌ HTTP経由でのサンプリング構成の取得 - TLS/認証なし。

SDKからコレクターへ

OpenTelemetry SDKは、オプションでTLSを有効にして、gRPCまたはHTTP経由で**jaeger-collector**と直接通信するように構成できます。

✅ HTTP - TLSとmTLS（クライアント証明書認証）をサポート。
✅ gRPC - TLSとmTLS（クライアント証明書認証）をサポート。
- スパンエクスポートとサンプリング構成クエリの両方をカバーします。

エージェントからコレクターへ

jaeger-agent は非推奨です。

✅ gRPC - TLSとクライアント証明書認証をサポート。

コレクター/インジェスター/クエリーサービスからストレージへ

✅ Cassandra - TLSとmTLS（クライアント証明書認証）をサポート。
✅ Elasticsearch - TLSとmTLS（クライアント証明書認証）をサポート。ベアラートークンの伝播。
✅ Kafka - TLSとさまざまな認証メカニズム（mTLS、Kerberos、プレーンテキスト）をサポート。

ブラウザからUIへ

❌ HTTP - TLSなし。ベアラートークン認証（ストレージへのパススルー）。
- ブログ記事：OAuthサイドカープロキシでJaeger UIを保護する。
- ブログ記事：OpenShift上のApache httpdリバースプロキシを使用したJaegerのセキュアなアーキテクチャ。

コンシューマーからクエリーサービスへ

✅ HTTP - TLSとmTLS（クライアント証明書認証）をサポート。
✅ gRPC - TLSとmTLS（クライアント証明書認証）をサポート。