4.9 KiB
title, lifecycle, evidence, last_reviewed, last_verified, sources
| title | lifecycle | evidence | last_reviewed | last_verified | sources | ||
|---|---|---|---|---|---|---|---|
| SPIFFE/SPIRE 使用入口与阶段状态 | active | documented | 2026-09-16 | null |
|
SPIFFE/SPIRE
为运行中的程序提供可证明、短期的身份。SPIRE 负责签发身份，OpenBao 和其他目标服务 根据身份决定权限。人类登录继续使用 Samba AD 与 Authelia。
当前做到哪里
基础设施与最小 OpenBao PoC 已完成，真实 workload 的推广接入仍在推进。
active 仅描述已有基础设施，不表示所有消费者均已迁移。
维护者指定以 homelab-infra #34 为主要状态依据。2026-09-16 查阅时 issue 为 open，最后更新时间为 2026-09-14 12:43:54 UTC；本页是该次查阅的阶段摘要，不替代 ticket 的动态进度。 本轮没有访问运行环境，以下完成结论均为 ticket 记录。
| 已完成阶段 | 记录依据 |
|---|---|
| SPIRE Server、Agent、CSI、OIDC Discovery Provider 上线；节点证明成功 | 9 月 13 日基础设施验收，对应 #51 |
| OIDC HTTPS、DNS、TLS、discovery/JWKS 验证；OpenBao JWT backend/role/policy 创建 | 9 月 14 日端到端验收，对应 #52、#53 |
| 测试 Pod 获得 aud=openbao 的 JWT-SVID，交换为仅含 spire-poc policy、TTL 300 秒的 Bao token；lookup-self/revoke-self 验证完成 | 同上；临时 workload 与 registration entries 已清理，最终 Terraform plan 为 No changes |
| 新 workload 接入、故障排查和恢复说明已合并 | 9 月 14 日文档记录，对应 #54 |
如何使用
这是一项面向程序的基础能力，没有供人登录的 SPIRE 业务门户。 如果你的 CI job 或 AI Agent 需要访问 OpenBao，接入路径是：
- 为 Kubernetes workload 定义专用 ServiceAccount 和稳定 SPIFFE ID。
- 通过 ClusterSPIFFEID 声明哪些 Pod 能取得该身份，并挂载 CSI Workload API socket。
- 在 OpenBao 为精确的 subject 和 audience 配置 role 与最小 policy。
- 程序从 Workload API 获取
aud=openbao的 JWT-SVID，再调用auth/jwt-spire/login换取短期 Bao token。 - 只执行该 policy 允许的操作；退出时尽力吊销 token，并清理进程内的临时凭据。
可直接沿用的配置模板、交换示例和排障步骤见 权威 RUNBOOK 的第 4–8 节。这里不复制第二份操作脚本。接入需要新增身份和授权配置，不是挂载 socket 后 就能读取业务秘密；临时 PoC workload 已清理，不是可直接使用的常驻客户端。
运行配置使用的 Kubernetes 身份约定为
spiffe://ddupan.top/ns/<namespace>/sa/<service-account>。
ticket 目标章节列出的其他身份形式是设计示例，不应直接替换现有 subject。
OIDC issuer 为 https://spire-oidc.ad.ddupan.top，其 discovery/JWKS 用于机器验签。
仍在 ticket 中跟踪
截至本次查阅，后续范围包括真实 Gitea CI/AI Agent 的 OpenBao 接入、credential-exec、 SeaweedFS Web Identity/STS、非 Kubernetes 主机与临时 VM 的证明和回收、 Compute/DBaaS 消费身份，以及 HA、备份恢复和多 issuer 约定。 这些是 #34 的开放范围；单个消费者已有其他 PoC，不等于整项已完成。
最小 PoC 标为完成，但验收清单仍有三个未勾选项目：
- 错误 namespace、ServiceAccount 或 selector 无法获得该身份；
- SVID 自动轮换不影响后续登录；
- 删除 registration entry 后不能再取得新 SVID。
因此不能把“PoC 完成”概括成所有负向、轮换和撤销测试都已通过。 已有恢复说明也不等于恢复演练已完成。最新进度回到 #34 查询，不在本页维护另一套勾选清单。
必须遵守的边界
- SPIFFE ID 是身份，不自动授予资源权限；资源授权仍由目标服务执行。
- audience 按目标服务绑定，OpenBao role 精确限制 subject；不授予整个 trust domain 通用权限。
- 人类身份保持 Samba AD / Authelia，当前方案不依赖迁移 Keycloak。
- 不因能访问 Agent socket 就允许任意身份；不将短期凭据持久化到镜像、Secret、artifact 或日志。
- PostgreSQL registration state 与 signing-key PVC 必须分别考虑备份；恢复路径不能形成循环依赖。
- PoC 和推广期间保留现有认证回退路径，不能把目标架构当作已经完成的凭据迁移。
完整边界见 ticket 的架构决策与安全恢复章节，以及 RUNBOOK 第 3、9 节。