资源下载与术语表
术语表(中英对照)
| 英文 | 中文 | 说明 |
|---|---|---|
| SPIFFE | —(保留原名) | Secure Production Identity Framework For Everyone,一套工作负载身份开放标准 |
| SPIRE | —(保留原名) | SPIFFE Runtime Environment,SPIFFE 的生产级参考实现 |
| Trust Domain | 信任域 | 一个独立的信任根,对应一套 CA/密钥 |
| SPIFFE ID | 身份标识 | spiffe://<信任域>/<路径> 形式的身份 URI |
| SVID | 可验证身份文档 | SPIFFE Verifiable Identity Document,分 X.509 与 JWT 两种 |
| Trust Bundle | 信任域证书包 | 一个信任域的公钥集合(X.509 CA + JWT 授权公钥) |
| Workload API | 工作负载 API | 工作负载获取并轮换 SVID 的本地标准接口 |
| Attestation | 认证 / 证明 | 证明节点或工作负载身份的过程(节点认证 / 工作负载认证) |
| NodeAttestor | 节点认证器 | 认证节点(Agent)身份的插件 |
| WorkloadAttestor | 工作负载认证器 | 依据进程属性推导工作负载选择器的插件 |
| Selector | 选择器 | 节点或工作负载的原生属性(如 unix:uid:1000、k8s:ns:prod) |
| Registration Entry | 注册条目 | 把选择器映射到 SPIFFE ID 的规则,存于数据存储 |
| Federation | 联邦 | 不同信任域之间交换 trust bundle 以互相认证 |
| Nested SPIRE | 嵌套 SPIRE | Server 分层:上游签中间 CA 给下游,同一信任域内分层扩展 |
| UpstreamAuthority | 上游权威 | 把 SPIRE CA 挂到外部 CA(Vault/PCA/…)的插件 |
| KeyManager | 密钥管理器 | 托管 CA 签名私钥的插件(memory/disk/KMS/Vault) |
| Rotation | 轮换 | SVID/CA 临期自动更换,缩小泄露窗口 |
| mTLS | 双向 TLS | 通信双方互验证书的 TLS |
本站资料
- SPIFFE 协议中文版 —— 全套规范译本
- SPIRE 源码解读 —— 架构与 SVID 颁发流程(基于 v1.15.2)
- 高可用与大集群部署 —— 多活原理与三种拓扑对比
- 云上落地 · 安全加固
官方资源
| 资源 | 链接 |
|---|---|
| SPIFFE 官网 | https://spiffe.io |
| SPIFFE 规范仓库 | https://github.com/spiffe/spiffe |
| SPIRE 源码 | https://github.com/spiffe/spire |
| SPIRE 发布版本 | https://github.com/spiffe/spire/releases |
| SPIRE 官方文档 | https://spiffe.io/docs/latest/ |
| 官方教程 spire-tutorials | https://github.com/spiffe/spire-tutorials |
| go-spiffe(客户端库) | https://github.com/spiffe/go-spiffe |
| CNCF SPIFFE 项目 | https://www.cncf.io/projects/spiffe/ |
快速上手命令
bash
# 拉取 SPIRE 源码(浅克隆)
git clone --depth 1 https://github.com/spiffe/spire
# 下载官方发布版二进制
# 参见 https://github.com/spiffe/spire/releases
# 生成节点一次性 join token(实验环境)
spire-server token generate -spiffeID spiffe://example.org/host
# 创建注册条目(unix uid 选择器示例)
spire-server entry create \
-parentID spiffe://example.org/host \
-spiffeID spiffe://example.org/workload \
-selector unix:uid:1000
# 工作负载获取 X.509-SVID
spire-agent api fetch x509更多命令行与配置参考见 SVID 颁发流程 与官方文档。