Estándares de identidad de cargas, a nivel de concepto

Una identidad SPIFFE es una cadena con la forma spiffe://dominio-de-confianza/ruta, que identifica de forma única una carga. El dominio de confianza es la raíz: reúne las cargas cuyas identidades se verifican con las mismas claves raíz. La identidad se entrega en un SVID, un documento verificable que puede ser un certificado X.509 o un token JWT. La carga lo obtiene de una interfaz local, la API de la carga de trabajo, sin presentar antes ningún secreto.

SPIRE es la implementación de referencia que emite y renueva esos documentos. En esta sala no se instala: se lee su configuración.

Una entrada de registro une una identidad con unos selectores: lo que la carga debe demostrar para recibirla, como el espacio de nombres y la cuenta de servicio en los que corre. Con un solo selector de espacio de nombres, cualquier pod de ese espacio recibe la identidad, tenga o no que ver con el servicio. Cuantos más selectores, más estrecha la regla.

ls identidad
cat identidad/dominio-de-confianza.txt
cat identidad/entradas-de-registro.csv

Una identidad solo significa algo dentro de su dominio de confianza. Un dominio distinto del de producción puede ser legítimo, por ejemplo uno de pruebas, pero una entrada así dentro del registro de producción es un hallazgo: o sobra, o alguien está confiando en un entorno que no controla.

La ventaja de las identidades de corta vida es que un documento robado deja de servir pronto. Esa ventaja se pierde si el TTL, el tiempo de vida en segundos, es largo. La política del dominio fija el máximo. Compara cada entrada y cuenta las que lo superan; una entrada que lo iguala cumple.

cat identidad/dominio-de-confianza.txt
cut -d';' -f1,3 identidad/entradas-de-registro.csv

El SVID de tipo X.509 se verifica en la conexión cifrada entre dos cargas y es el formato preferido cuando se puede. El de tipo JWT viaja como un token y es útil cuando entre las dos cargas hay un intermediario que termina la conexión, como un balanceador de capa de aplicación, porque la conexión cifrada no llega de extremo a extremo. Ese token, si se intercepta, puede reutilizarse mientras no caduque, así que su vida debe ser muy corta.