spire SPIFFE運(yùn)行時(shí)環(huán)境

SPIRE（SPIFFE 運(yùn)行時(shí)環(huán)境。）是一個(gè) API 工具鏈，用于在各種托管平臺(tái)上的軟件系統(tǒng)之間建立信任。SPIRE 公開了 SPIFFE Workload API，該 API 可以證明正在運(yùn)行的軟件系統(tǒng)并向其發(fā)布 SPIFFE ID 和 SVID。這進(jìn)而允許兩個(gè)工作負(fù)載在彼此之間建立信任，例如通過建立 mTLS 連接或通過簽名和驗(yàn)證 JWT 令牌。 SPIRE 還可以使工作負(fù)載安全地對(duì)秘密存儲(chǔ)、數(shù)據(jù)庫(kù)或云提供商服務(wù)進(jìn)行身份驗(yàn)證。

SPIFFE (Secure Production Identity Framework For Everyone) 以特制的 X.509 證書形式為現(xiàn)代生產(chǎn)環(huán)境中的每個(gè)工作負(fù)載提供安全標(biāo)識(shí)。SPIFFE 消除了對(duì)應(yīng)用程序級(jí)身份驗(yàn)證和復(fù)雜網(wǎng)絡(luò)級(jí) ACL 配置的需求。SPIFFE 標(biāo)準(zhǔn)是許多 CNCF 參與者和其他相關(guān)方，聚集在一起提出的共同方法，以便服務(wù)彼此呈現(xiàn)和授權(quán)他們的身份。

一個(gè) SPIRE 部署由一個(gè) SPIRE 服務(wù)器和一個(gè)或多個(gè) SPIRE 代理組成。服務(wù)器充當(dāng)通過代理發(fā)布給一組工作負(fù)載的身份的簽名授權(quán)機(jī)構(gòu)。它還維護(hù)一個(gè)工作負(fù)載標(biāo)識(shí)注冊(cè)表，并且必須核實(shí)這些標(biāo)識(shí)才能發(fā)布這些標(biāo)識(shí)。代理將 SPIFFE Workload API 本地公開給工作負(fù)載，并且必須將其安裝在運(yùn)行工作負(fù)載的每個(gè)節(jié)點(diǎn)上。

SPIRE Server 負(fù)責(zé)管理和發(fā)布其配置的 SPIFFE 信任域中的所有身份。它存儲(chǔ)注冊(cè)條目（用于指定確定特定 SPIFFE ID發(fā)出條件的選擇器）和簽名密鑰，使用節(jié)點(diǎn)證明自動(dòng)認(rèn)證代理的身份，并在經(jīng)過認(rèn)證的代理請(qǐng)求時(shí)為工作負(fù)載創(chuàng)建 SVID。

SPIRE Agent 在已確定工作負(fù)載的每個(gè)節(jié)點(diǎn)上運(yùn)行：

• 從服務(wù)器請(qǐng)求 SVID 并緩存它們，直到工作負(fù)載請(qǐng)求其 SVID
• 將 SPIFFE Workload API 暴露給節(jié)點(diǎn)上的工作負(fù)載，并證明調(diào)用它的工作負(fù)載的身份
• 提供已識(shí)別的工作負(fù)載及其 SVID