SPIFFE
Secure Production Identity Framework For Everyone。現代の分散システムにおけるワークロードIDの標準。SPIFFE IDはURIで、例は spiffe://example.org/ns/prod/sa/api である。SVID(SPIFFE Verifiable Identity Document)は、このIDをSANに持つX.509証明書またはJWTを指す。
「このPodは誰なのか」という問いに、ネットワーク上の場所やIPアドレスとは無関係に答える仕組みである。参照実装はSPIRE(これもCNCFプロジェクト)で、ワークロードはプラットフォームの属性(KubernetesのServiceAccountトークン、AWSのインスタンスメタデータ、Dockerソケットなど)で自らを証明し、SPIREサーバーから短命の証明書を受け取る。ゼロトラストやmTLSメッシュの基盤になり、IstioもSPIFFEと連携できる。PinterestやBloombergなどの規模で標準的に使われている。導入は複雑で、そのためIstio組み込みのIDが選ばれることのほうが多い。