SPIFFE (Secure Production Identity Framework For Everyone), mikroservis ve konteyner gibi iş yüklerine parola ya da elle dağıtılan sır olmadan doğrulanabilir kimlik vermeyi tanımlayan açık bir standarttır. SPIRE (SPIFFE Runtime Environment) ise bu standardı gerçekten çalıştıran, kimlikleri üreten ve dağıtan referans uygulamadır.

SPIFFE, iş yüklerine kriptografik olarak doğrulanabilir kimlik veren bir standart; SPIRE ise bu kimlikleri üretip dağıtan çalışma zamanı sistemidir.

Hangi Sorunu Çözer?

Dağıtık sistemlerde bir servis diğerine ben şu servisim dediğinde, bunu güvenilir biçimde kanıtlaması gerekir. Geleneksel yöntem koda gömülü API anahtarları ve paylaşılan sırlar kullanmaktı; bunlar sızmaya ve yönetim karmaşasına açıktır. SPIFFE, her iş yüküne SPIFFE ID adı verilen standart bir kimlik atayarak bu sırlara olan bağımlılığı ortadan kaldırır.

SPIFFE ID ve SVID

Her iş yükü, spiffe://alanadi/servis biçiminde bir URI ile adlandırılır. Bu kimlik, iş yüküne SVID (SPIFFE Verifiable Identity Document) olarak verilen bir belgeyle taşınır; SVID çoğunlukla kısa ömürlü bir X.509 sertifikası ya da JWT biçimindedir. Kısa ömür, çalınmış bir kimliğin kullanım penceresini daraltır.

SPIRE Nasıl Çalışır?

SPIRE bir sunucudan ve her düğümde çalışan ajanlardan oluşur. Ajan, üstünde koştuğu iş yükünü süreç kimliği ve konteyner etiketleri gibi özelliklerine bakarak doğrular; bu adıma attestation denir. Doğrulama başarılıysa iş yüküne uygun SVID verilir, böylece hiçbir sır önceden koda yerleştirilmez.

IAM ve API Güvenliğindeki Yeri

SPIFFE, makine kimliklerini insan kimlikleri kadar disiplinli yöneten bir kimlik ve erişim yönetimi anlayışını servis katmanına taşır. Servislerin birbirini karşılıklı doğrulaması, API güvenliği açısından yatay hareket riskini belirgin biçimde azaltır.

Kurumsal Değeri

Sıfır güven mimarisine geçen ve çok sayıda mikroservis işleten kurumlar için SPIFFE/SPIRE, sır yönetimi yükünü hafifletirken güçlü bir kimlik temeli kurar. Bu tür bir kimlik altyapısının mevcut mimariye nasıl oturacağının değerlendirilmesi için Privia Security’nin altyapı ve mimari gözden geçirme hizmeti yol gösterir.