Zero Trust 架构实战：mTLS 双向认证与 SPIFFE/SPIRE 身份颁发

发表于：2022-02-21|最后更新：2022-02-22|分类：网络架构与安全|阅读：6518 次

在**零信任网络（Zero Trust）**理念中，“默认不信任，始终验证”。工作负载间通过 SPIFFE ID（如 spiffe://domain/ns/prod/sa/payment）确立身份，并使用短生命周期的 X.509 SVID 证书完成 mTLS（双向 TLS） 加密通信。

一、SPIFFE ID 证书主体备用名称（SAN）

yaml

# Envoy Proxy 校验下游服务 SPIFFE SVID
validation_context:
  trusted_ca:
    filename: /etc/ssl/certs/spire-ca.crt
  match_typed_subject_alt_names:
  - san_type: URI
    matcher:
      exact: "spiffe://cluster.local/ns/backend/sa/order-service"