Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
中文
Entry № 1079

SPIRE 运行时

SPIRE 运行时 是什么?

SPIRE 运行时SPIFFE 的官方开源参考实现:由服务器与代理组成,可对工作负载进行证明并签发短期 X.509 或 JWT SVID。

SPIRE(SPIFFE Runtime Environment)是 SPIFFE 的生产级参考实现。它由维护注册条目和签名 CA 的中心化 SPIRE Server,以及运行在每个节点上、负责节点与工作负载证明、并通过本地 UNIX 套接字暴露 SPIFFE Workload API 的 SPIRE Agent 构成。Attestation 插件可证明工作负载的属性——Kubernetes service account、容器镜像哈希、AWS/GCP/Azure 实例元数据、裸机 TPM 度量——然后代理才为其获取短期 SVID。SPIRE 支持跨 trust domain 的联邦,并与 Istio、Kuma、Envoy、Vault、AWS/Azure/GCP 集成。它以可加密验证且经过证明的身份取代长期凭据。

● 示例

  1. 01

    Kubernetes 节点上的 SPIRE Agent 使用 PSAT 插件证明 Pod 并提供 SVID。

  2. 02

    两个业务单元的 SPIRE trust domain 互相联邦,使彼此的服务能验证对方的 SVID。

● 常见问题

SPIRE 运行时 是什么?

SPIFFE 的官方开源参考实现:由服务器与代理组成,可对工作负载进行证明并签发短期 X.509 或 JWT SVID。 它属于网络安全的 云安全 分类。

SPIRE 运行时 是什么意思?

SPIFFE 的官方开源参考实现:由服务器与代理组成,可对工作负载进行证明并签发短期 X.509 或 JWT SVID。

SPIRE 运行时 是如何工作的?

SPIRE(SPIFFE Runtime Environment)是 SPIFFE 的生产级参考实现。它由维护注册条目和签名 CA 的中心化 SPIRE Server,以及运行在每个节点上、负责节点与工作负载证明、并通过本地 UNIX 套接字暴露 SPIFFE Workload API 的 SPIRE Agent 构成。Attestation 插件可证明工作负载的属性——Kubernetes service account、容器镜像哈希、AWS/GCP/Azure 实例元数据、裸机 TPM 度量——然后代理才为其获取短期 SVID。SPIRE 支持跨 trust domain 的联邦,并与 Istio、Kuma、Envoy、Vault、AWS/Azure/GCP 集成。它以可加密验证且经过证明的身份取代长期凭据。

如何防御 SPIRE 运行时?

针对 SPIRE 运行时 的防御通常结合技术控制与运营实践,详见上方完整定义。

SPIRE 运行时 还有哪些其他名称?

常见的别称包括: SPIFFE 运行时环境。

● 相关术语