SPIRE
SPIFFE Runtime Environment。SPIFFE標準のリファレンス実装で、2022年にCNCF Graduatedとなった。SVIDを発行するServerと、各ノードで動きワークロードを検証するAgentで構成され、HSBC、JPMorgan、ByteDanceなどでワークロードIDを支えている。
プラットフォーム証明には、KubernetesのSAトークン、AWSのIID+署名付きノンス、Azure MSI、GCPのサービスアカウントキーなどが使われる。SPIRE Agentはプラットフォーム側のAPIに問い合わせ、ワークロードが名乗りどおりの存在かを確かめたうえで、短命(既定1時間)のX.509またはJWTのSVIDを発行する。SVIDはSDSプロトコルによりUnixソケット経由でEnvoyに渡される。競合はHashiCorp VaultのPKIエンジン、クラウドネイティブ方式(IRSA+Workload Identity)、商用ではTeleportなど。