我一直在研究SPIFEE（每個(gè)人的安全生產(chǎn)身份框架）[1]，在這里，我正在按照我現(xiàn)在的理解起草流程，以使任何試圖理解流程的人受益。

• 身份注冊表 – SPIRE服務(wù)器具有自己的身份注冊表，該注冊表保留兩個(gè)粗粒度屬性，這些屬性決定如何將SPIFFE ID發(fā)布給工作負(fù)載。 它保留了下表中的詳細(xì)信息。

特殊ID	節(jié)點(diǎn)選擇器	Craft.io選擇器
spiffe：//abc.com/bill	aws：ec2：1234	k8s：命名空間：1234
spiffe：//xyz.com/account	令牌：7236427472	UNIX：UID：1002

提供了單獨(dú)的注冊API來管理身份注冊表中的這些條目。

• 節(jié)點(diǎn)選擇器 –定義可以在其上運(yùn)行工作負(fù)載的計(jì)算機(jī)（物理或虛擬）。 根據(jù)運(yùn)行工作負(fù)載的基礎(chǔ)結(jié)構(gòu)提供程序（AWS，GCP，裸機(jī)）確定要使用的選擇器的確切類型。 例如。 AWS EC2實(shí)例ID，物理機(jī)的序列號。 節(jié)點(diǎn)證明者根據(jù)基礎(chǔ)結(jié)構(gòu)提供者采取行動以兌現(xiàn)那里的選擇器。
• 工作負(fù)載選擇器 –這定義了在識別節(jié)點(diǎn)之后如何識別代表工作負(fù)載的流程。 這可以用進(jìn)程本身的屬性（例如Linux UID）或間接屬性（例如kubernetes名稱空間）來描述。 節(jié)點(diǎn)代理負(fù)責(zé)驗(yàn)證計(jì)算機(jī)上的特定進(jìn)程是否符合其工作負(fù)載選擇器的條件。 工作負(fù)載證明者基于流程屬性來執(zhí)行流程選擇器。
• SPIRE節(jié)點(diǎn)代理 –位于節(jié)點(diǎn)上的進(jìn)程，用于驗(yàn)證節(jié)點(diǎn)上運(yùn)行的工作負(fù)載的來源，并根據(jù)選擇器通過Workload API為這些工作負(fù)載提供證書。

管理員或第三方應(yīng)用程序調(diào)用注冊API，以使用所需的SPIFFE ID和相關(guān)的選擇器填充身份注冊表。

節(jié)點(diǎn)代理使用預(yù)先建立的加密密鑰對或基于基礎(chǔ)結(jié)構(gòu)提供程序通過SPIRE服務(wù)器進(jìn)行身份驗(yàn)證。 例如，對于AWS EC2，節(jié)點(diǎn)代理將提交由AWS發(fā)布的節(jié)點(diǎn)的實(shí)例標(biāo)識文檔（IID）。

SPIRE服務(wù)器中的節(jié)點(diǎn)證明者根據(jù)使用的機(jī)制來驗(yàn)證提供的標(biāo)識文檔。 如果使用AWS IID，則相關(guān)證明者將使用AWS設(shè)置對其進(jìn)行驗(yàn)證。 驗(yàn)證成功后，SPIRE服務(wù)器會發(fā)送回一組SPIFFE ID，這些ID可以連同其進(jìn)程選擇器策略一起發(fā)布給節(jié)點(diǎn)。

當(dāng)工作負(fù)載開始在節(jié)點(diǎn)中運(yùn)行時(shí)，它首先致電節(jié)點(diǎn)代理，詢問“我是誰？”。

基于上一步中接收到的進(jìn)程選擇器節(jié)點(diǎn)代理，并使用工作量證明者，代理決定要賦予工作量的SPIFFE ID。 它基于此生成密鑰對，并將CSR（證書簽名請求）發(fā)送到SPIRE服務(wù)器。

SPIRE服務(wù)器使用工作負(fù)載的簽名SVID以及信任包響應(yīng)節(jié)點(diǎn)代理，指示該工作負(fù)載可以信任其他哪些負(fù)載。

收到來自SPIRE服務(wù)器的響應(yīng)后，節(jié)點(diǎn)代理將接收到的SVID移交給信任，將生成的私鑰捆綁到工作負(fù)載中。 此私鑰永遠(yuǎn)不會離開其工作負(fù)載所屬的節(jié)點(diǎn)。

如果您發(fā)現(xiàn)任何問題，請隨時(shí)提出任何更正建議。

[1] – https://spiffe.io [2] – https://docs.google.com/document/d/1RZnBfj8I5xs8Yi_BPEKBRp0K3UnIJYTDg_31rfTt4j8/edit#

翻譯自: https://www.javacodegeeks.com/2019/01/spiffe-nutshell.html

總結(jié)

以上是生活随笔為你收集整理的简而言之SPIFFE的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。