SPIRE
SPIFFE Runtime Environment: de referentie-implementatie van de SPIFFE-standaard, sinds 2022 CNCF Graduated. Een server (geeft SVID's uit) plus een agent (draait op elke node en attesteert workloads); levert workload-identiteit bij onder meer HSBC, JPMorgan en ByteDance.
Platformattestatie: Kubernetes-SA-token, AWS IID met ondertekende nonce, Azure MSI, GCP-serviceaccountsleutel. De SPIRE-agent controleert via de platform-API of de workload werkelijk is wie die beweert te zijn en geeft dan een kortlevende (standaard 1 uur) X.509- of JWT-SVID uit. Via het SDS-protocol worden SVID's over een Unix-socket aan Envoy aangeboden. Concurrenten: de PKI-engine van HashiCorp Vault, cloudnative oplossingen (IRSA + Workload Identity) en commerciële (Teleport).