SPIFFE ID 怎样映射到工作负载身份

在 Kubernetes 或多云环境里，Pod 名称、IP 地址和节点位置都会变化，直接把这些短暂属性当成长期身份，迁移或扩缩容后很容易失效。SPIFFE ID 的映射思路是：先用 trust domain 建立信任边界，再由 SPIRE 根据节点和工作负载的可验证属性匹配 registration entry，最后把目标 SPIFFE ID 放进 SVID 交给工作负载使用。

SPIFFE ID 不是把任意字符串贴到进程上，而是由 parent ID、selectors 和工作负载证明共同决定的可验证身份结果。映射成立的关键，是 selectors 能被当前 attestor 可靠发现，并且只命中预期的注册条目。

SPIFFE ID 的映射对象到底是什么

先拆开两个容易混淆的概念。SPIFFE ID 是身份名称，通常写成 spiffe://example.org/ns/payments/sa/api；SVID 是携带该身份、可被信任域验证的凭据，可以是 X.509 SVID 或 JWT-SVID。前者回答“你是谁”，后者回答“你如何证明自己是这个身份”。

命名时建议把环境、业务边界和工作负载角色放进路径，例如 ns/payments/sa/api。不要把 Pod 随机名称、IP 或发布时间塞进身份路径，否则扩缩容会不断制造新身份。trust domain 也不是公共 DNS 注册表，选择组织可控制且不易与其他信任域冲突的名称更稳妥。

从节点信任到工作负载匹配

SPIRE 的映射是分两层完成的。第一层是 node attestation：SPIRE Agent 通过节点属性得到自己的 Agent SPIFFE ID。第二层是 workload attestation：Agent 发现调用 Workload API 的进程或容器属性，再与注册条目的 selectors 比较。工作负载条目的 parent ID 应指向具体 Agent，或指向一个由节点 selectors 定义的 node alias。

这一区分很重要：节点 selectors 证明“哪个 Agent 可以签发”，工作负载 selectors 证明“哪个进程可以拿到某个身份”。把两类 selector 混在一个 registration entry 里，会让授权边界变得不可读，也可能因 attestor 不支持某个属性而始终匹配不到。

用 registration entry 把属性绑定到身份

以下是面向 Kubernetes 场景的示意命令。具体 selector 名称应以已启用的 Kubernetes node/workload attestor 为准；命令表达的是绑定关系，不代表某个集群已经执行成功。

# 把 payments 命名空间中的 api 服务账号绑定到目标 SPIFFE ID
spire-server entry create \
  -parentID spiffe://example.org/agent/k8s-west \
  -spiffeID spiffe://example.org/ns/payments/sa/api \
  -selector k8s:ns:payments \
  -selector k8s:sa:api

这里的 -parentID 限定了签发范围，-spiffeID 是工作负载最终呈现的身份，两个 selectors 则描述可被 attestor 验证的属性。生产环境应避免使用过宽的 default 服务账号或只按节点匹配；否则同一节点上不相关的进程可能获得相同身份。

工作负载拿到身份的运行时入口是 SPIFFE Workload API。合规实现至少提供这个 API，常见部署会通过本机 Unix Domain Socket 暴露。应用不必把私钥写进环境变量，但仍应处理 endpoint 暂不可用、没有匹配身份和凭据轮换等错误。

判断映射是否成立的检查清单

排查时先看“有没有身份”，再看“身份是否正确”，最后看“服务端是否允许”。如果 Workload API 返回 PermissionDenied，优先检查 selector 是否可发现、parent ID 是否正确以及注册条目是否已同步；如果 SVID 有效但请求仍被拒绝，则应转向资源侧授权策略，而不是继续改 SPIFFE ID 字符串。

常见问题

SPIFFE ID 能直接等同于 Kubernetes ServiceAccount 吗？

不能。ServiceAccount 是平台属性，SPIFFE ID 是信任域中的标准化身份名称。可以用 ServiceAccount selector 参与映射，但最终身份仍由 SPIRE 注册条目决定。

为什么同一个工作负载拿不到 SVID？

常见原因是 Agent 未完成 attestation、parent ID 不匹配、selector 不在当前 attestor 的可发现范围内，或注册条目尚未同步到 Agent。

拿到 X.509 SVID 就能访问所有服务吗？

不能。SVID 证明调用者身份，服务端还要依据 mTLS 对端身份、授权策略和资源边界决定是否放行。