Sublime 文本编辑器无法配置 Istio mTLS，因其仅是代码编辑工具，不具备运行时能力、证书管理、流量拦截或 Sidecar 注入等功能；它只能用于编写 YAML 配置文件等，真正启用 mTLS 依赖 Istio 控制平面、Envoy Sidecar 和 Kubernetes 基础设施。
Sublime 文本编辑器本身不参与网络通信或安全策略实施，无法直接实现零信任模型或配置 Istio 服务网格的 mTLS。它只是一个代码编辑工具，不具备运行时能力、证书管理、流量拦截或 Sidecar 注入等功能。
为什么 Sublime 不能配置 Istio mTLS
零信任和 Istio mTLS 是运行在 Kubernetes 集群中的基础设施层能力，依赖：
- Istio 控制平面（Pilot、Citadel/CA、Galley 等）生成和分发证书
- Envoy Sidecar 代理拦截流量并执行双向 TLS 握手
- Kubernetes RBAC、ServiceAccount、NetworkPolicy 等协同实现最小权限访问
- YAML 清单（如 PeerAuthentication、DestinationRule）定义认证策略
Sublime 在这个过程中的合理角色
它可以作为高效编辑器，用于编写和查看以下内容：
- Istio 的 YAML 配置文件（如 peerauthentication.yaml、destinationrule.yaml）
- Kubernetes Deployment/Service 清单，确保启用了 sidecar.istio.io/inject: "true"
- Cert-Manager 或自建 CA 的证书签发配置（如 ClusterIssuer、Certificate）
- 配合插件（如 YAML、EditorConfig、GitGutter）提升配置编写准确性和协作效率
真正启用 Istio mTLS 的关键步骤
需在集群中执行（非 Sublime）：
- 安装 Istio 并启用 global.mtls.enabled=true（推荐用 IstioOperator 方式）
- 部署 PeerAuthentication 策略（例如 namespace 级别 strict 模式）
- 为服务配置 DestinationRule，设置 trafficPolicy.tls.mode: ISTIO_MUTUAL
- 确认所有工作负载已注入 Envoy Sidecar（检查 pod 中是否有 istio-proxy 容器）
- 验证：使用 istioctl authn tls-check 或 curl + istioctl proxy-status
基本上就这些。Sublime 可以写得快、看得清、改得准，但让 mTLS 生效的，永远是集群里的 Istio 和 Kubernetes。
