proto.lib

SPIFFE/SPIRE Workload Identity

SPIRE Agent xác thực (attest) một workload, SPIRE Server phát SVID ngắn hạn kèm SPIFFE ID, cho phép hai workload thiết lập mTLS tin tưởng lẫn nhau mà không cần secret chia sẻ.

SecurityNâng cao2026-07-07
SPIFFE/SPIRE Workload Identity

Tags

#spiffe#spire#workload-identity#mtls#svid#zero-trust

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

SecurityNâng cao

Xoay chứng chỉ workload ngắn hạn (Short-Lived Certificate Rotation)

Chứng chỉ định danh của một workload chỉ sống vài giờ hoặc vài phút; sidecar/agent tự xin cấp lại chứng chỉ mới từ lâu trước khi hết hạn và phân phối trust bundle mới, nên một chứng chỉ bị rò rỉ gần như vô giá trị vào ngày hôm sau và việc thu hồi (revocation) không còn là cơ chế chính để chặn kẻ tấn công.

#mtls#certificate-rotation#workload-identity#pki
SecurityTrung bình

Mutual TLS (mTLS)

Minh họa cách mTLS mở rộng TLS để cả server và client cùng xác thực lẫn nhau bằng chứng chỉ số, dùng cho zero-trust service-to-service.

#mtls#tls#certificate#zero-trust
SecurityTrung bình

Keyless Deploy: CI xin OIDC token thay vì giữ khoá dài hạn

Runner CI không còn lưu access key tĩnh; nó xin một OIDC token định danh job, cloud STS xác minh chữ ký và đối chiếu điều kiện subject (repo/branch/environment) với trust policy trước khi phát credential ngắn hạn — sai điều kiện subject là lỗ hổng cho repo khác mạo danh.

#oidc#ci-cd#sts#keyless