添加嵌套 CI 的 SPIRE JWT broker

README.md

@@ -12,6 +12,9 @@
   Cloud Hypervisor，退出后完整清理。
 - `guest-runner`：在 guest 中领取一次性 runner registration token，注册 ephemeral
   runner，执行一个 job 后关机。
+- `jwt-broker`：运行在 Kubernetes runner 外层 Pod 中，以可被 SPIRE attestation
+  的 PID 获取固定 `aud=zot` JWT-SVID；DinD job 通过受限 HTTP endpoint 获取短期
+  token。broker 不记录响应、不缓存 token，也不接受调用方指定 audience。
 
 消息流使用一个 `WorkQueuePolicy` stream。相同 runner label 的所有 worker 共享同一
 durable consumer；扩容只需要增加 worker 或提高单机 capacity。