Идентичность рабочей нагрузки
Определение
Идентичность рабочей нагрузки — машинное удостоверение, которое процесс или сервис получает от инфраструктуры по признакам своей среды выполнения. В SPIFFE нагрузке выдают SPIFFE ID и короткоживущий документ SVID в формате X.509 или JWT, поэтому долговечный секрет в приложение не встраивают.
Также ищут: Workload identity · идентичность workload · машинная идентичность · service workload identity
Зачем это знать
Короткоживущая идентичность уменьшает необходимость разворачивать один долговечный секрет во множество экземпляров.
Карта понятия
Что подтверждено
SPIFFE связывает рабочую нагрузку со SPIFFE ID и выдаёт SVID в формате X.509 или JWT для криптографического подтверждения идентичности.
Граница применимости: Модель идентичности рабочих нагрузок SPIFFE.
SPIFFE Workload API выдаёт короткоживущие и часто обновляемые документы идентичности без заранее встроенного в приложение секрета.
Граница применимости: Модель SPIFFE Workload API; подтверждение платформы остаётся обязательным.
Что проверить
- Определите домен доверия.
- Свяжите признаки среды выполнения.
- Ограничьте аудиторию и срок действия.
Первоисточники
- SPIFFE Concepts
Определяет workload identity, SPIFFE ID, trust domain, SVID и выдачу short-lived automatically rotated identity documents.