红帽全球峰会10.2. Zero Trust Workload Identity Manager 发行注记
Zero Trust Workload Identity Manager 将安全生产身份框架用于每个人(SPIFFE)和 SPIFFE 运行时环境(SPIRE)来为分布式系统提供全面的身份管理解决方案。Zero Trust Workload Identity Manager 支持 SPIRE 版本 1.12.4 作为操作对象运行。
本发行注记介绍了 Zero Trust Workload Identity Manager 的开发。
Zero Trust Workload Identity Manager 只是一个技术预览功能。技术预览功能不受红帽产品服务等级协议（SLA）支持，且功能可能并不完整。红帽不推荐在生产环境中使用它们。这些技术预览功能可以使用户提早试用新的功能，并有机会在开发阶段提供反馈意见。
有关红帽技术预览功能支持范围的更多信息，请参阅技术预览功能支持范围。
发布日期：2025 年 9 月 8 日
以下公告可用于 Zero Trust Workload Identity Manager。
这个 Zero Trust Workload Identity Manager 发行版本是一个技术预览。
10.2.1.1. 新功能及功能增强
10.2.1.1.1. 支持受管 OIDC 发现供应商路由
-
Operator 为所选默认安装通过域
*.apps.<cluster_domain>中的 OpenShift Routes 公开SPIREOIDCDiscoveryProviderspec。 -
managedRoute和externalSecretRef字段已添加到spireOidcDiscoveryProviderspec 中。 -
managedRoute字段是布尔值，默认设置为true。如果设置为false，Operator 会停止管理路由，现有路由不会被自动删除。如果设为true，Operator 会恢复管理路由。如果路由不存在，Operator 会创建一个新路由。如果路由已存在，Operator 会在存在冲突时覆盖用户配置。 -
externalSecretRef引用一个外部管理的 Secret，其具有oidc-discovery-providerRoute 主机的 TLS 证书。提供后，这会填充路由的.Spec.TLS.ExternalCertificate字段。如需更多信息，请参阅使用外部管理的证书创建路由。
以下 Time-To-Live (TTL) 字段已添加到 SPIRE 服务器证书管理的
SpireServer自定义资源定义(CRD) API 中：-
CAValidity(默认值：24h) -
DefaultX509Validity(默认值: 1h) -
DefaultJWTValidity（默认值：5m）
-
- 在服务器配置中可以使用 user-configurable 选项替换默认值，让用户能够灵活地根据其安全要求自定义证书和 SPIFFE Verifiable Identity Document (SVID) 生命周期。
10.2.1.1.3. 启用手动用户配置
-
当
ztwim.openshift.io/create-only=true注解存在于 Operator 的 API 中，Operator 控制器被切换到create-only模式。这允许在跳过更新时创建资源。用户可以手动更新资源来测试其配置。此注解支持 API，如SpireServer、SpireAgents、SpiffeCSIDriver、SpireOIDCDiscoveryProvider和ZeroTrustWorkloadIdentityManager。 - 应用注解时，所有派生的资源，包括由 Operator 创建和管理的资源。
- 在删除了注解并重启 pod 后，Operator 会尝试返回所需的状态。该注解仅在启动或重启过程中应用一次。
10.2.1.2. 程序错误修复
-
在此次更新之前，
SpireServer和SpireOidcDiscoveryProvider的JwtIssuer字段不需要成为配置出现错误的 URL。在这个版本中，用户必须手动在两个自定义资源的JwtIssuer字段中输入签发者 URL。(SPIRE-117)
发布日期：2525 年 6 月 16 日
以下公告可用于 Zero Trust Workload 身份管理器：
Zero Trust Workload Identity Manager 的初始发行版本只是一个技术预览。这个版本有以下已知的限制：
- 对 SPIRE 联邦的支持没有启用。
-
密钥管理器仅支持
磁盘存储类型。 - Telemetry 只能通过 Prometheus 支持。
- 不支持 SPIRE 服务器或 OpenID Connect (OIDC)发现供应商的高可用性(HA)配置。
-
不支持外部数据存储。此版本使用由 SPIRE 部署的内部
sqlite数据存储。 - 此版本使用固定配置运行。不允许用户定义的配置。
-
操作对象的日志级别不可配置。默认值为
DEBUG。
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}