记录 Kata guest 内 SPIFFE 身份方案 #95

2026-09-17T18:47:44Z

panxiao81 commented

2026-09-17 18:47:44 +00:00

关联 #94。

本 PR 修正文档中 Kata guest 可复用普通 Pod CSI 身份的错误描述，并记录 2026-09-17 live PoC 已验证的设计：

guest 内 native sidecar SPIRE Agent 使用 Pod-bound PSAT；
Agent parent ID 精确绑定 Pod UID，业务 SPIFFE ID 不含 job ID 或 Pod UID；
Pod 必须启用 shareProcessNamespace，供 unix workload attestor 解析跨容器 PID；
调度器先创建 registration entry，再放行 workload，并在销毁时清理 entry/Agent；
SPIRE 1.15.3 已支持 use_pod_uid_for_agent_id，缺口是 hardened chart 0.30.2 未暴露该字段；正式实现应补 chart 并向上游提交。

验证：live PoC 中 uid 2000 workload 成功取得 spiffe://ddupan.top/ci/poc/task/build X.509-SVID；临时资源已全部清理，中央 SPIRE/Flux 与 sandbox Agent 均恢复健康。

关联 #94。本 PR 修正文档中 Kata guest 可复用普通 Pod CSI 身份的错误描述，并记录 2026-09-17 live PoC 已验证的设计： - guest 内 native sidecar SPIRE Agent 使用 Pod-bound PSAT； - Agent parent ID 精确绑定 Pod UID，业务 SPIFFE ID 不含 job ID 或 Pod UID； - Pod 必须启用 shareProcessNamespace，供 unix workload attestor 解析跨容器 PID； - 调度器先创建 registration entry，再放行 workload，并在销毁时清理 entry/Agent； - SPIRE 1.15.3 已支持 use_pod_uid_for_agent_id，缺口是 hardened chart 0.30.2 未暴露该字段；正式实现应补 chart 并向上游提交。验证：live PoC 中 uid 2000 workload 成功取得 spiffe://ddupan.top/ci/poc/task/build X.509-SVID；临时资源已全部清理，中央 SPIRE/Flux 与 sandbox Agent 均恢复健康。

panxiao81 added 1 commit 2026-09-17 18:47:45 +00:00

docs: 记录 Kata guest SPIFFE 身份方案 3dbd4c5f31

panxiao81 added 1 commit 2026-09-17 18:54:02 +00:00

docs: 明确 SPIRE chart 字段缺口 583dab526a

panxiao81 merged commit 99d1ec1d6f into main

2026-09-18 16:18:29 +00:00

panxiao81 deleted branch docs/kata-inner-spire

2026-09-18 16:18:29 +00:00

Sign in to join this conversation.

1 Participants

Notifications

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: panxiao81/homelab-infra#95