21、Istio 中 SPIFFE 规范与 Auto mTLS 实践

Istio 中 SPIFFE 规范与 Auto mTLS 实践

1. SPIFFE 规范核心组件

SPIFFE（Secure Production Identity Framework For Everyone）规范包含两个核心组件：Workload API 和 Workload Endpoint。
- Workload API ：作为控制平面组件，它为工作负载提供端点，使其能够获取定义其身份的数字证书，即 SPIFFE 可验证身份文档（SVID）。其主要功能有两个，一是为工作负载颁发证书，它拥有证书颁发机构（CA）的私钥，用于签署工作负载提出的证书签名请求；二是公开 API，使 Workload Endpoint 能够使用其功能。
- Workload Endpoint ：作为数据平面组件，它靠近每个工作负载，提供两项关键功能。一是工作负载证明（Workload Attestation），通过内核内省或编排器查询等方法验证工作负载的身份；二是暴露 Workload API，发起并维护与 Workload API 的安全通信，以获取和轮换 SVID，并通过安全的进程间通信将其提供给工作负载。

2. 工作负载获取 SVID 的流程

工作负载获取 SVID 需经过以下步骤：
1. 验证身份并生成 CSR ：Workload Endpoint 通过工作负载证明验证工作负载的完整性，并使用 SPIFFE ID 创建证书签名请求（CSR）。
2. 提交 CSR ：Workload Endpoint