Seminar CNCF Zero Trust Networking: Workload Identity mit SPIFFE und SPIRE

Eine tragfähige Zero-Trust-Netzwerkarchitektur benötigt belastbare, kurzlebige und maschinenlesbare Identitäten für Workloads. Dieses Seminar konzentriert sich auf genau diesen Kernmechanismus und behandelt SPIFFE und SPIRE als Grundlage für attestierte Workload Identity in dynamischen Plattformumgebungen. Im Mittelpunkt stehen nicht statische Geheimnisse, sondern die sichere Ableitung, Ausstellung und Nutzung von Identität im laufenden Betrieb.

Ziele und Nutzen

Ziel ist das Verständnis eines Identitätsmodells, das sich sauber mit Netzwerksegmentierung, mTLS und Autorisierung verbinden lässt. Behandelt werden Aufbau und Semantik von SPIFFE IDs, die Rolle von SVIDs, Node- und Workload-Attestation, Registration Entries, Trust Domains sowie Integrationsmuster mit Kubernetes und service-nahen Sicherheitskomponenten. Zusätzlich werden Governance-Fragen behandelt, damit Identitäten auch in größeren Plattformen konsistent bleiben.

Inhaltliche Schwerpunkte

• Grundlagen von Workload Identity als Voraussetzung für Zero Trust in dynamischen Infrastrukturen
• SPIFFE IDs, X.509-SVIDs, JWT-SVIDs und ihre Rolle in Kommunikations- und Autorisierungsmodellen
• SPIRE-Architektur mit Server, Agent, Attestation und Registration Entries
• Identitätslebenszyklen, Rotation, kurzlebige Credentials und Betriebsmodelle
• Modellierung von Trust Domains, Selektoren und Namenskonventionen
• Einbindung in Kubernetes, Service Mesh und weiterführende Sicherheitsmuster

Praxisanteil

Im Praxisteil werden Workloads in Kubernetes mit attestierten Identitäten ausgestattet, Registration Entries modelliert und Trust-Domain-Konzepte auf eine Referenzanwendung übertragen. Darauf aufbauend wird gezeigt, wie Identität als Grundlage für mTLS, Autorisierung und clusterübergreifende Sicherheitsentscheidungen genutzt werden kann.

Adressatenkreis

Dieses Seminar eignet sich für Rollen, die das Identitätsfundament einer Zero-Trust-Architektur gestalten oder betreiben. Es ist besonders relevant, wenn statische Geheimnisse reduziert, Zertifikatsprozesse automatisiert oder serviceübergreifende Identitätsbeziehungen konsistent modelliert werden sollen.

Voraussetzungen

Empfohlen werden grundlegende Kenntnisse in Kubernetes und ein Basisverständnis von Zertifikaten, TLS und Authentifizierungsverfahren. Vorwissen zu SPIFFE oder SPIRE ist nicht notwendig.