授权本机 SPIFFE 身份访问开发服务 #76

2026-09-16T17:07:04Z

panxiao81 commented

2026-09-16 17:07:04 +00:00

变更

为精确身份 spiffe://ddupan.top/dev/panxiao81 增加下游授权：

OpenBao：新增 local-development JWT role，限定 aud=openbao 和精确 subject
KV v2：允许整个 engine 的 create/read/update 及 metadata read/list，不允许删除、永久销毁或 auth 管理
SSH：允许通过 ai-agent role 签发短期客户端证书
zot：允许所有 repository 的 read/create/update/delete；其他 SPIFFE 身份仍为只读
Bao token TTL 为 5 分钟，最大 15 分钟，不附带 default policy

验证

terraform fmt -check 通过
terraform validate 通过（Vault provider v4.8.0）
zot chart 0.1.124 渲染通过，生成配置包含精确 SPIFFE 用户及预期 CRUD actions
SPIRE Kustomize 渲染通过

范围

当前只有 OpenBao 与 zot 直接消费 SPIFFE 身份；NATS、SeaweedFS 尚未通过 SPIFFE 做认证或授权。

## 变更为精确身份 `spiffe://ddupan.top/dev/panxiao81` 增加下游授权： - OpenBao：新增 `local-development` JWT role，限定 `aud=openbao` 和精确 subject - KV v2：允许整个 engine 的 `create/read/update` 及 metadata `read/list`，不允许删除、永久销毁或 auth 管理 - SSH：允许通过 `ai-agent` role 签发短期客户端证书 - zot：允许所有 repository 的 `read/create/update/delete`；其他 SPIFFE 身份仍为只读 - Bao token TTL 为 5 分钟，最大 15 分钟，不附带 default policy ## 验证 - `terraform fmt -check` 通过 - `terraform validate` 通过（Vault provider v4.8.0） - zot chart `0.1.124` 渲染通过，生成配置包含精确 SPIFFE 用户及预期 CRUD actions - SPIRE Kustomize 渲染通过 ## 范围当前只有 OpenBao 与 zot 直接消费 SPIFFE 身份；NATS、SeaweedFS 尚未通过 SPIFFE 做认证或授权。

panxiao81 added 1 commit 2026-09-16 17:07:04 +00:00

授权本机 SPIFFE 身份访问开发服务

yaml / yaml (pull_request) Successful in 12s

Details

terraform / validate (pull_request) Successful in 32s

Details

64b1acd6c3

panxiao81 merged commit 61f0f864aa into main

2026-09-16 17:07:51 +00:00

panxiao81 deleted branch feat/spire-host-development

2026-09-16 17:07:51 +00:00

Sign in to join this conversation.

1 Participants

Notifications

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: panxiao81/homelab-infra#76