51、SPIFFE与gRPC技术解析

SPIFFE与gRPC技术解析

1. SPIFFE可验证身份文档

1.1 SVID概述

SPIFFE可验证身份文档（SVID）是依据SPIFFE规范定义的身份文档。它有三个基本组成部分：SPIFFE ID、代表工作负载的公钥以及SPIRE服务器颁发SVID时的有效签名。其中，SPIFFE ID和签名是必需的，公钥则是可选的。SVID以一种方式携带SPIFFE ID，使得SPIFFE ID的所有者能够通过加密方式证明其拥有对应的SPIFFE ID。目前，SVID有两种格式：X.509 - SVID和JWT - SVID。

1.2 X.509 - SVID

X.509 - SVID提供与SPIRE节点代理提交给SPIRE服务器的证书签名请求（CSR）相对应的签名X.509证书。在颁发X.509 - SVID时，SPIRE服务器充当证书颁发机构（CA），所有颁发的证书必须在X.509主题备用名称（SAN）字段中包含相应的SPIFFE ID。SPIRE服务器也可以将证书颁发部分委托给上游CA。

以下是获取X.509 - SVID的流程：

graph LR
    A[工作负载（微服务）] -->|1. Who am I?| B[SPIRE节点代理]
    B -->|2. 节点代理认证到SPIRE服务器| C[SPIRE服务器]
    B -->|3. 节点代理生成密钥对并发送CSR| C
    C -->|4. 返回X509 SVID和信任束| B
    B -->|5. X509 SVID和私钥| A
    C -