SPIRE 페더레이션 아키텍처

SPIRE 페더레이션 아키텍처 An architecture diagram generated by Archify. 워크로드 A · prod.us.example.com · Trust Domain A · prod.us.example.com 워크로드 A prod.us.example.com SPIRE Server A · federation.enabled · Trust Domain A · prod.us.example.com SPIRE Server A federation.enabled Bundle Store A · 도메인별 별도 bundle · Trust Domain A · prod.us.example.com Bundle Store A 도메인별 별도 bundle Bundle Endpoint A · :8443 · 페더레이션 설정 Bundle Endpoint A :8443 Bundle Endpoint B · :8443 · 페더레이션 설정 Bundle Endpoint B :8443 워크로드 B · prod.eu.example.com · Trust Domain B · prod.eu.example.com 워크로드 B prod.eu.example.com SPIRE Server B · federation.enabled · Trust Domain B · prod.eu.example.com SPIRE Server B federation.enabled Bundle Store B · 도메인별 별도 bundle · Trust Domain B · prod.eu.example.com Bundle Store B 도메인별 별도 bundle Agent 경유 SVID B의 Bundle 저장 Bundle 공개 명시적 신뢰 관계 Bundle 공개 Agent 경유 SVID A의 Bundle 저장 mTLS + 상대 ID 허용 정책 Trust Domain A · prod.us.example.com Trust Domain B · prod.eu.example.com 페더레이션 설정 Legend 백엔드 서비스 데이터 저장소 클라우드 서비스 보안 구성 요소

신뢰 bootstrap

  • • https_spiffe: 초기 bundle + endpointSPIFFEID
  • • https_web: DNS/TLS 인증서 체인 확인
  • • bundle을 설정하는 것은 CA 키 교체가 아님

범위

  • • federatesWith: workload에 필요한 도메인만
  • • JWT audience/expiry 검증과 replay 방어 구분
  • • 인증 후 서비스별 authorization 적용