配置 SPIRE JWT-SVID 登录 OpenBao #53

2026-09-13T15:56:30Z

panxiao81 commented

2026-09-13 15:56:30 +00:00

内容

新增独立 jwt-spire auth backend，通过 SPIRE OIDC discovery/JWKS 验证 JWT-SVID
PoC role 仅接受 aud=openbao
精确绑定 subject spiffe://ddupan.top/ns/spire-poc/sa/spire-jwt-poc
token TTL 5 分钟，max TTL 15 分钟，并移除 default policy
spire-poc policy 不授予业务 secret 权限，仅允许 token 自省与主动吊销

安全边界

backend 配置只包含公开 discovery URL，不包含 secret
不使用 wildcard subject
该 PoC 不修改现有 OIDC、Kubernetes 或 cert auth

验证

HashiCorp Vault provider 4.8.0 schema validate 通过
Terraform fmt 与 diff check 通过

关联 #34。

## 内容 - 新增独立 `jwt-spire` auth backend，通过 SPIRE OIDC discovery/JWKS 验证 JWT-SVID - PoC role 仅接受 `aud=openbao` - 精确绑定 subject `spiffe://ddupan.top/ns/spire-poc/sa/spire-jwt-poc` - token TTL 5 分钟，max TTL 15 分钟，并移除 default policy - `spire-poc` policy 不授予业务 secret 权限，仅允许 token 自省与主动吊销 ## 安全边界 - backend 配置只包含公开 discovery URL，不包含 secret - 不使用 wildcard subject - 该 PoC 不修改现有 OIDC、Kubernetes 或 cert auth ## 验证 - HashiCorp Vault provider `4.8.0` schema validate 通过 - Terraform fmt 与 diff check 通过关联 #34。

panxiao81 self-assigned this 2026-09-13 15:56:30 +00:00

panxiao81 added 1 commit 2026-09-13 15:56:31 +00:00

配置 SPIRE JWT-SVID 登录 OpenBao

terraform / validate (pull_request) Successful in 1m12s

Details

c9987122e6

panxiao81 merged commit 8c27a7286b into main

2026-09-13 16:01:53 +00:00

panxiao81 deleted branch feat/spire-openbao-poc

2026-09-13 16:01:53 +00:00

panxiao81 referenced this pull request

2026-09-14 10:27:55 +00:00