收窄本机 SPIFFE 身份的 KV 权限范围 #77

2026-09-16T17:15:23Z

panxiao81 commented

2026-09-16 17:15:23 +00:00

变更

将本机开发身份的 KV 权限从整个 engine 收窄至 kv/k8s/* 与 kv/infra/*
两个子树允许 KV v2 create/read/update 和 metadata read/list
继续拒绝删除、永久销毁、auth 管理及其他 KV 子树
kv/infra/* 预留给未来从 Ansible Vault 迁移的基础设施凭据
保留 ai-agent SSH 短证书签发权限

在线修正

Terraform 已目标化 apply，在线 policy 与本提交一致。

验证

使用宿主机真实 spiffe://ddupan.top/dev/panxiao81 JWT-SVID 登录 OpenBao 后，capabilities API 确认：

kv/data/k8s/*：create/read/update
kv/metadata/k8s/*：read/list
kv/data/infra/*：create/read/update
kv/metadata/infra/*：read/list
其他 KV 子树：deny
ssh-client-signer/sign/ai-agent：create/update

登录 token 仅包含 local-development 与 spire-poc policy，TTL 为 5 分钟。

## 变更 - 将本机开发身份的 KV 权限从整个 engine 收窄至 `kv/k8s/*` 与 `kv/infra/*` - 两个子树允许 KV v2 `create/read/update` 和 metadata `read/list` - 继续拒绝删除、永久销毁、auth 管理及其他 KV 子树 - `kv/infra/*` 预留给未来从 Ansible Vault 迁移的基础设施凭据 - 保留 `ai-agent` SSH 短证书签发权限 ## 在线修正 Terraform 已目标化 apply，在线 policy 与本提交一致。 ## 验证使用宿主机真实 `spiffe://ddupan.top/dev/panxiao81` JWT-SVID 登录 OpenBao 后，capabilities API 确认： - `kv/data/k8s/*`：`create/read/update` - `kv/metadata/k8s/*`：`read/list` - `kv/data/infra/*`：`create/read/update` - `kv/metadata/infra/*`：`read/list` - 其他 KV 子树：`deny` - `ssh-client-signer/sign/ai-agent`：`create/update` 登录 token 仅包含 `local-development` 与 `spire-poc` policy，TTL 为 5 分钟。

panxiao81 added 1 commit 2026-09-16 17:15:24 +00:00

收窄本机 SPIFFE 身份的 KV 权限范围

terraform / validate (pull_request) Successful in 28s

Details

f3d8c38d28

panxiao81 merged commit 62c0ce1fff into main

2026-09-16 17:17:12 +00:00

panxiao81 deleted branch fix/spire-local-kv-scope

2026-09-16 17:17:12 +00:00

Sign in to join this conversation.

1 Participants

Notifications

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: panxiao81/homelab-infra#77