https://blog.homelab89.com/tags/spiffe/ Recent content in Spiffe on homelab89 Hugo ko-KR Wed, 10 Jun 2026 00:00:00 +0000 https://blog.homelab89.com/docs/istio/security/mtls-spiffe-identity/ Wed, 10 Jun 2026 00:00:00 +0000 https://blog.homelab89.com/docs/istio/security/mtls-spiffe-identity/ <div class="callout abstract"> <div class="ct">이 문서가 다루는 것</div> <p>Istio의 workload identity는 IP·hostname·header가 아니라 <strong>SPIFFE ID</strong>(<code>spiffe://&lt;trust-domain&gt;/ns/&lt;ns&gt;/sa/&lt;sa&gt;</code>)다. 이 ID는 X.509 인증서(SVID)의 <strong>SAN(URI type)</strong> 에 박혀 발급되고, mTLS handshake에서 양측이 서로의 SVID를 trust bundle(CA root)로 검증한다. 검증된 SPIFFE ID가 곧 <code>source.principal</code>로 이어져 인가(authz)의 입력이 된다. 즉 mTLS는 &ldquo;암호화&quot;가 아니라 <strong>검증 가능한 신원의 운반 수단</strong>이며, 그 신원이 없으면 principal 기반 정책 자체가 성립하지 않는다. 인증서는 istio-agent가 <strong>SDS</strong>로 메모리상에서 발급·로테이션하므로 디스크에 평문 key가 떨어지지 않는다.</p>