授权本机 SPIFFE 身份访问开发服务

platform/spire/README.md

@@ -66,6 +66,17 @@ export SPIFFE_ENDPOINT_SOCKET=unix:///run/spire/agent-sockets/spire-agent.sock
 进程。`ClusterStaticEntry.spec.parentID` 绑定当前 `laptop` Kubernetes node UID；若
 节点被删除后重建，需从 `spire-server agent list` 取得新 Agent ID 并同步更新该字段。
 
+下游授权仅绑定这个精确 SPIFFE ID：
+
+- OpenBao `auth/jwt-spire/role/local-development` 接受 `aud=openbao`，签发 5 分钟
+  token；允许读取和写入整个 KV v2 engine、列出 metadata、签发 `ai-agent` SSH
+  短证书，以及查询、撤销自身 token；不允许删除/永久销毁 KV 数据或管理 auth；
+- zot 接受 `aud=zot`，允许本机开发身份对所有 repository 执行
+  `read/create/update/delete`；其他 SPIFFE 身份仍保持全仓库只读。
+
+当前没有其他服务直接消费 SPIFFE 身份；Gitea runner 与 dynamic runner 是独立身份
+使用方，NATS、SeaweedFS 等服务尚未通过 SPIFFE 做认证或授权。
+
 稳定的 JWT issuer 预留为：
 
 ```text