第10章 Zero Trust Workload Identity Manager

Secure Production Identity Framework for Everyone (SPIFFE) は、分散システム内のソフトウェアワークロード間の信頼を確立するための標準化された方法を提供します。SPIFFE は、SPIFFE ID と呼ばれる一意の ID を割り当てます。この ID は、信頼ドメインとワークロード ID を含む Uniform Resource Identifiers (URI) です。

SPIFFE ID は、SPIFFE Verifiable Identity Document (SVID) に含まれています。SVID は、ワークロードが他のワークロードに対してアイデンティティーを検証し、ワークロードが相互に通信できるようにするために使用されます。SVID には次の 2 つの主な形式があります。

SPIRE サーバーは、信頼ドメイン内で SPIFFE アイデンティティーを管理および発行する役割を担います。登録エントリー (SPIFFE ID を発行する条件を決定するセレクター) と署名鍵を格納します。SPIRE サーバーは SPIRE エージェントと連携し、ノードプラグインを介してノードアテステーションを実行します。詳細は、SPIRE サーバーについて を参照してください。

SPIRE エージェントはワークロードのアテステーションを担当し、SPIFFE Workload API を通じて認証を要求するときに、ワークロードに検証済みのアイデンティティーを確実に付与します。これは、設定済みのワークロードアテスタープラグインを使用することで実現されます。Kubernetes 環境では、Kubernetes ワークロードアテスタープラグインが使用されます。

SPIRE と SPIRE エージェントは、ノードプラグインを介してノードアテステーションを実行します。プラグインは、エージェントが稼働するノードのアイデンティティーを確認するために使用されます。詳細は、SPIRE エージェントについて を参照してください。

アテステーションは、SPIFFE ID と SVID を発行する前に、ノードとワークロードのアイデンティティーを検証するプロセスです。SPIRE サーバーは、ワークロードの属性と SPIRE エージェントが稼働するノードの属性を収集し、それらをワークロードの登録時に定義された一連のセレクターと比較します。比較が成功した場合、エンティティーに認証情報が提供されます。これにより、信頼ドメイン内の正当かつ予期されるエンティティーにのみ、暗号化アイデンティティーが確実に付与されます。SPIFFE/SPIRE には、主に次の 2 種類のアテステーションがあります。

Red Hat OpenShift クラスターにおける Zero Trust Workload Identity Manager のワークフローの概要を以下に示します。