引导 sandbox 跨集群 SPIRE 认证 #87

2026-09-17T16:50:24Z

panxiao81 commented

2026-09-17 16:50:24 +00:00

内容

在 sandbox Flux 中安装固定版本 SPIRE CRD
声明仅允许 tokenreviews.create 的 central SPIRE reviewer
新增 Ansible role，在内存中生成受限 kubeconfig 并同步至 central SPIRE Secret
凭据不写入仓库、日志或控制机文件
明确 Agent ServiceAccount 留给后续 HelmRelease 管理，避免资源所有权冲突

验证

Ansible syntax-check 通过
ansible-lint production profile 通过
yamllint 与 git diff check 通过
sandbox root 与 bootstrap Kustomize render 通过
Kubernetes client dry-run 通过
spire-crds 0.6.1 Helm render 通过

后续

合并后等待 spire-bootstrap Ready，运行 ansible-playbook spire-bootstrap.yml 并验证第二次零变更；随后单独启用 central external PSAT/controller 与 sandbox Agent/CSI。

关联 #83、#34

## 内容 - 在 sandbox Flux 中安装固定版本 SPIRE CRD - 声明仅允许 `tokenreviews.create` 的 central SPIRE reviewer - 新增 Ansible role，在内存中生成受限 kubeconfig 并同步至 central SPIRE Secret - 凭据不写入仓库、日志或控制机文件 - 明确 Agent ServiceAccount 留给后续 HelmRelease 管理，避免资源所有权冲突 ## 验证 - Ansible syntax-check 通过 - ansible-lint production profile 通过 - yamllint 与 git diff check 通过 - sandbox root 与 bootstrap Kustomize render 通过 - Kubernetes client dry-run 通过 - `spire-crds` 0.6.1 Helm render 通过 ## 后续合并后等待 `spire-bootstrap` Ready，运行 `ansible-playbook spire-bootstrap.yml` 并验证第二次零变更；随后单独启用 central external PSAT/controller 与 sandbox Agent/CSI。关联 #83、#34

panxiao81 added 1 commit 2026-09-17 16:50:24 +00:00

feat: 引导 sandbox 跨集群 SPIRE 认证

yaml / yaml (pull_request) Successful in 19s

Details

ansible / collection-test (pull_request) Successful in 1m11s

Details

ansible / lint (pull_request) Successful in 2m13s

Details

b7b92b3465

panxiao81 merged commit 4b9aa9e164 into main

2026-09-17 16:55:59 +00:00

panxiao81 deleted branch feat/sandbox-spire-bootstrap

2026-09-17 16:55:59 +00:00

Sign in to join this conversation.

1 Participants

Notifications

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: panxiao81/homelab-infra#87