둘의 관계

- SPIFFE는 "스펙(표준)"
- SPIRE는  "스펙을 구현한 소프트웨어"

[ EX ] 
 - OCI 스펙 <-> Docker, containerd (구현체)
 - JPA 스펙 <-> Hibernate
 
[ 추가 ]
- SPIRE만이 유일한 구현체는 아님
- Istio의 Citadel도 SPIFFE 호환 인증서를 발급 받음

SPIFFE

설명

**Secure Production Identity Framework for Everyone 분산 시스템에서 워크로드(서비스)에 신원을 부여하고 검증하는 방법**을 정의한 오픈소스 표준 스펙

• 성격: 표준 (구현체 아님, CNCF Graduated)
• 목적: 시크릿 (API 키, 패스워드) 없이 워크로드끼리 서로의 신원을 증명
• 적용: Istio, Envoy, K8s 등등

핵심 개념

1. SPIFFE ID - 신원 그 자체

URL 형식의 워크로드 식별자

spiffe://<trust-domain>/<path>

예시:
spiffe://cluster.local/ns/default/sa/frontend
spiffe://example.org/payment-service

2. SVID - 신원을 증명하는 문서

SPIFFE Verifiable Identity Document. SPIFFE ID를 암호화적으로 증졍

두가지 형태:

• X.509-SVID: 인증서 기반 (mTLS용)

  ├─ SPIFFE ID (SAN URI 필드)
  ├─ 워크로드 공개키
  └─ CA 서명
  

• JWT-SVID: 토큰 기반 (API 인증, IAM 연동용)

3. Workload API -SVID를 받아가는 통로