部署 SPIRE workload identity 基础设施 #51

2026-09-13T15:34:54Z

panxiao81 commented

2026-09-13 15:34:54 +00:00

内容

使用官方 hardened Helm chart 部署 SPIRE Server、Agent、Controller Manager 与 CSI Driver
固定 spire chart 0.30.2、SPIRE 1.15.3 和 CRDs chart 0.6.1
trust domain 使用 ddupan.top，cluster name 使用 homelab
registration datastore 接入共享 CloudNativePG 的 spire 数据库
disk KeyManager 使用独立 1Gi ZFS PVC 保存 signing keys
预留稳定 JWT issuer https://spire-oidc.ad.ddupan.top
默认关闭全 Pod fallback identity，后续 workload 显式声明 ClusterSPIFFEID

首次部署前置条件

已手工创建 PostgreSQL role/database spire
已创建 spire-server/spire-postgresql Secret，且只包含 password key
OIDC Discovery Provider 首次仅 ClusterIP，暂不创建外部 route

验证

helm lint 通过
umbrella chart 完整渲染通过
已确认 PostgreSQL Cluster healthy、StorageClass 存在、Secret 接口正确

关联 #34。

## 内容 - 使用官方 hardened Helm chart 部署 SPIRE Server、Agent、Controller Manager 与 CSI Driver - 固定 `spire` chart `0.30.2`、SPIRE `1.15.3` 和 CRDs chart `0.6.1` - trust domain 使用 `ddupan.top`，cluster name 使用 `homelab` - registration datastore 接入共享 CloudNativePG 的 `spire` 数据库 - disk KeyManager 使用独立 `1Gi` ZFS PVC 保存 signing keys - 预留稳定 JWT issuer `https://spire-oidc.ad.ddupan.top` - 默认关闭全 Pod fallback identity，后续 workload 显式声明 `ClusterSPIFFEID` ## 首次部署前置条件 - 已手工创建 PostgreSQL role/database `spire` - 已创建 `spire-server/spire-postgresql` Secret，且只包含 `password` key - OIDC Discovery Provider 首次仅 ClusterIP，暂不创建外部 route ## 验证 - `helm lint` 通过 - umbrella chart 完整渲染通过 - 已确认 PostgreSQL Cluster healthy、StorageClass 存在、Secret 接口正确关联 #34。

panxiao81 self-assigned this 2026-09-13 15:34:54 +00:00

panxiao81 added 1 commit 2026-09-13 15:34:55 +00:00

部署 SPIRE workload identity 基础设施

yaml / yaml (pull_request) Successful in 13s

Details

22192a3c68

panxiao81 merged commit bdacc03e74 into main

2026-09-13 15:35:53 +00:00

panxiao81 deleted branch feat/spire-bootstrap

2026-09-13 15:35:53 +00:00

panxiao81 referenced this pull request

2026-09-13 15:39:55 +00:00