서버가 관리하는 발급 조건
서버는 신뢰 도메인의 신원과 서명 키 및 등록 정보를 관리한다. 등록 정보에는 어떤 조건을 만족하는 워크로드에 특정 SPIFFE ID를 발급할지 지정한다. 인증된 에이전트의 요청을 받아 해당 신원 문서를 만든다.
노드에서 워크로드를 확인하는 에이전트
에이전트는 식별할 워크로드가 실행되는 노드에 배치된다. 운영체제에서 프로세스 정보를 확인하고 등록된 선택 조건과 비교해 요청자의 신원을 판별한다. 로컬 Workload API를 통해 확인된 워크로드에 SVID를 전달한다.
플러그인으로 나누는 역할
노드 확인과 자료 저장 및 키 관리를 플러그인으로 구성할 수 있다. 기본적으로 서버가 인증 기관 역할을 하지만 상위 인증 기관과 연결하는 구성도 가능하다. 표준이 정한 신원 형식을 실제 환경의 발급 조건과 연결하는 것이 SPIRE의 역할이다.
관련 문서
SPIFFE / cert-manager / Consul / HashiCorp Vault / JSON Web Token / API