SPIRE（SPIFFE 運行時環(huán)境。）是一個 API 工具鏈，用于在各種托管平臺上的軟件系統(tǒng)之間建立信任。SPIRE 公開了 SPIFFE Workload API，該 API 可以證明正在運行的軟件系統(tǒng)并向其發(fā)布 SPIFFE ID 和 SVID。這進而允許兩個工作負載在彼此之間建立信任，例如通過建立 mTLS 連接或通過簽名和驗證 JWT 令牌。 SPIRE 還可以使工作負載安全地對秘密存儲、數(shù)據(jù)庫或云提供商服務(wù)進行身份驗證。

SPIFFE (Secure Production Identity Framework For Everyone) 以特制的 X.509 證書形式為現(xiàn)代生產(chǎn)環(huán)境中的每個工作負載提供安全標識。SPIFFE 消除了對應(yīng)用程序級身份驗證和復(fù)雜網(wǎng)絡(luò)級 ACL 配置的需求。SPIFFE 標準是許多 CNCF 參與者和其他相關(guān)方，聚集在一起提出的共同方法，以便服務(wù)彼此呈現(xiàn)和授權(quán)他們的身份。

一個 SPIRE 部署由一個 SPIRE 服務(wù)器和一個或多個 SPIRE 代理組成。服務(wù)器充當通過代理發(fā)布給一組工作負載的身份的簽名授權(quán)機構(gòu)。它還維護一個工作負載標識注冊表，并且必須核實這些標識才能發(fā)布這些標識。代理將 SPIFFE Workload API 本地公開給工作負載，并且必須將其安裝在運行工作負載的每個節(jié)點上。

SPIRE Server 負責管理和發(fā)布其配置的 SPIFFE 信任域中的所有身份。它存儲注冊條目（用于指定確定特定 SPIFFE ID發(fā)出條件的選擇器）和簽名密鑰，使用節(jié)點證明自動認證代理的身份，并在經(jīng)過認證的代理請求時為工作負載創(chuàng)建 SVID。

SPIRE Agent 在已確定工作負載的每個節(jié)點上運行：

• 從服務(wù)器請求 SVID 并緩存它們，直到工作負載請求其 SVID
• 將 SPIFFE Workload API 暴露給節(jié)點上的工作負載，并證明調(diào)用它的工作負載的身份
• 提供已識別的工作負載及其 SVID