SPIFFE 워크로드 신원 규격

SPIFFE는 분산 환경의 소프트웨어 작업 주체인 워크로드의 신원을 확인하기 위한 공개 규격 집합입니다. Secure Production Identity Framework for Everyone의 약어로 사람의 로그인 계정을 관리하는 체계와 구별합니다.

서비스에 신원을 부여하고 짧은 수명의 암호학적 신원 문서 등을 통해 서로를 확인하도록 합니다. 서비스가 실행되는 위치가 바뀌어도 신원을 일관되게 다루려는 목적이 있습니다. 특정 IP 주소만을 허용하는 네트워크 정책과는 판단 기준이 다릅니다.

컨테이너가 다른 서버로 이동하거나 다시 생성될 때 작업 주체를 식별해 서비스 사이의 통신을 인증하는 구성을 생각할 수 있습니다. 신원을 확인한 다음 어떤 데이터와 동작을 허용할지는 별도의 권한 정책으로 정해야 합니다.

SPIFFE는 규격이고 SPIRE는 이를 구현하는 소프트웨어입니다. SVID는 신원을 증명하는 문서이며 X.509 및 JWT 기반 구성이 존재합니다. 신뢰 도메인과 도메인 사이의 연합, 실제 발급 및 검증 방식은 각각 구분해 설계합니다.

어떤 환경 증거로 워크로드 신원을 발급할지와 신뢰 주체를 관리해야 합니다. 신원 발급 설정이 잘못되면 잘못된 주체가 신뢰받을 수 있습니다. 모든 구현이 규격의 모든 기능을 제공하는 것은 아니므로 필요한 발급과 연합 및 갱신 기능을 확인합니다.

이 절의 용어: SPIRE / SPIFFE Runtime Environment / SPIFFE 실행 환경

SPIRE는 SPIFFE 기반 워크로드 신원 발급과 검증을 지원하는 구현입니다. 서버와 에이전트 등의 구성으로 실행 환경과 워크로드를 확인하고 필요한 신원 정보를 제공합니다. SPIFFE라는 규격 이름과 SPIRE라는 구현 이름을 같은 말로 쓰지 않습니다. 신원 발급 규칙과 신뢰 도메인, 키 관리 및 서비스의 실제 검증 연결이 맞아야 하며 설치만으로 모든 통신이 자동 보호되지는 않습니다.

spiffe.io: spiffe