panxiao81/homelab-infra
1
0
Fork 0
Code Issues 10 Pull Requests Actions Packages Projects Releases Wiki Activity

部署 sandbox SPIRE Agent 与 CSI #89

Merged
panxiao81 merged 1 commits from feat/sandbox-spire-agents into main 2026-09-17 17:27:14 +00:00
Conversation 0 Commits 1 Files Changed 14
+280 -1
panxiao81 commented 2026-09-17 17:23:26 +00:00
Owner
Copy Link
Copy Source

内容

  • central SPIRE Server 通过内网 spire-server.ad.ddupan.top:8081 暴露 gRPC
  • 启用 sandbox external PSAT、external controller-manager 与 bundle publisher
  • trust bundle 自动发布到 sandbox ConfigMap，随 CA 轮换
  • sandbox 只部署 SPIRE Agent 与 SPIFFE CSI Driver，不建立第二套 Server/OIDC/trust root
  • 增加稳定的普通 Pod/Kata 共用 smoke identity fixture
  • 使用 VMPodScrape 将 SPIRE Agent 指标接入现有 sandbox vmagent
  • 为 bundle publisher 增加 namespace 范围内的 ConfigMap RBAC

安全边界

  • PSAT reviewer 与 controller 使用不同 kubeconfig 和不同 RBAC
  • Agent ServiceAccount 固定为 allow-list 中的 spire-system:spire-agent
  • SPIRE Server 仅通过 LAN LoadBalancer 暴露，不配置公网入口
  • workload identity 使用稳定任务名，不包含一次性 job ID

验证

  • yamllint、DNS generator check、diff check 通过
  • sandbox root 与所有子 Kustomization render 通过
  • spire chart 0.30.2 对 central/sandbox 两套 values render 通过
  • sandbox render 中无 Server StatefulSet 或 OIDC Deployment
  • central render 中 external PSAT/controller/bundle publisher 与 8081 Service 均生效
  • ClusterSPIFFEID、HelmRelease、VMPodScrape CRD server-side schema 验证通过

合并后需先运行 Samba DNS Ansible，再等待两边 Flux，并以临时 Pod 验证 spiffe://ddupan.top/sandbox/smoke。

关联 #83、#34

## 内容 - central SPIRE Server 通过内网 `spire-server.ad.ddupan.top:8081` 暴露 gRPC - 启用 sandbox external PSAT、external controller-manager 与 bundle publisher - trust bundle 自动发布到 sandbox ConfigMap，随 CA 轮换 - sandbox 只部署 SPIRE Agent 与 SPIFFE CSI Driver，不建立第二套 Server/OIDC/trust root - 增加稳定的普通 Pod/Kata 共用 smoke identity fixture - 使用 VMPodScrape 将 SPIRE Agent 指标接入现有 sandbox vmagent - 为 bundle publisher 增加 namespace 范围内的 ConfigMap RBAC ## 安全边界 - PSAT reviewer 与 controller 使用不同 kubeconfig 和不同 RBAC - Agent ServiceAccount 固定为 allow-list 中的 `spire-system:spire-agent` - SPIRE Server 仅通过 LAN LoadBalancer 暴露，不配置公网入口 - workload identity 使用稳定任务名，不包含一次性 job ID ## 验证 - yamllint、DNS generator check、diff check 通过 - sandbox root 与所有子 Kustomization render 通过 - `spire` chart 0.30.2 对 central/sandbox 两套 values render 通过 - sandbox render 中无 Server StatefulSet 或 OIDC Deployment - central render 中 external PSAT/controller/bundle publisher 与 8081 Service 均生效 - ClusterSPIFFEID、HelmRelease、VMPodScrape CRD server-side schema 验证通过 合并后需先运行 Samba DNS Ansible，再等待两边 Flux，并以临时 Pod 验证 `spiffe://ddupan.top/sandbox/smoke`。 关联 #83、#34
panxiao81 added 1 commit 2026-09-17 17:23:26 +00:00
feat: 部署 sandbox SPIRE Agent 与 CSI
yaml / yaml (pull_request) Successful in 20s
Details
ansible / collection-test (pull_request) Successful in 1m9s
Details
ansible / lint (pull_request) Successful in 2m15s
Details
aeb8c49d0a
panxiao81 merged commit 1806c678a4 into main 2026-09-17 17:27:14 +00:00
panxiao81 deleted branch feat/sandbox-spire-agents 2026-09-17 17:27:14 +00:00
Sign in to join this conversation.
Reviewers
No Reviewers
Labels
No items
No labels
Milestone
No items
No Milestone
Projects
Clear projects
No projects
Assignees
Clear assignees
panxiao81 (Xiao Pan)
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: panxiao81/homelab-infra#89