工作负载身份迁移测验
本测验检查你对 SPIFFE/SPIRE 结构、证明原则，以及它们与 IAM Auth 的相似点和关键差异的理解。
选择题
- 为什么 SPIFFE ID 不包含 IP 地址或主机名等网络信息？
- A) URI 格式无法表示 IP 地址
- B) 无论工作负载被调度到何处、IP 如何变化，其身份都必须保持不变
- C) 网络信息会单独包含在 SVID 中
- D) 暴露 IP 地址会带来安全风险
显示答案
答案：B) 无论工作负载被调度到何处、IP 如何变化，其身份都必须保持不变
说明：SPIFFE ID 的形式为 spiffe://<trust-domain>/<workload-path>，其中路径通常反映命名空间和 ServiceAccount。刻意不包含网络信息：Pod 可能被重新调度并获得新的 IP，但其身份必须保持不变。这体现了从基于 IP 的控制转向基于身份的控制；同样的思路也解释了为什么在 Lattice 的链路本地地址范围内，基于目标 IP 的控制会失去意义。
- 在 SPIRE 的工作负载证明过程中，在哪一步明确解决了引导问题？
- A) 工作负载出示预先植入的令牌时
- B) Agent 在可信内核/证明器模型下使用内核提供的对端信息，并交叉检查工作负载选择器
- C) Server 为 SVID 签名时
- D) Envoy 通过 SDS 收到证书时
显示答案
答案：B) Agent 在可信内核/证明器模型下使用内核提供的对端信息，并交叉检查工作负载选择器
说明：这样就不需要工作负载使用预共享的应用程序机密信息进行引导。但这并不构成针对主机失陷、错误选择器或证明器配置不当的无条件保障。
- 为什么 SVID 的有效期较短？
- A) 为了节省存储空间
- B) 短有效期会限制凭证的可用时长，但无法替代失陷响应或授权控制
- C) 为了分摊 CA 的签名负载
- D) 为了彻底消除所有运行时机密材料和失陷响应要求
显示答案
答案：B) 短有效期会限制凭证的可用时长，但无法替代失陷响应或授权控制
说明：应检查续期、运行时存储、凭证被重放利用的风险和紧急拒绝/吊销行为。即使凭证会过期，它仍包含机密材料，也不会自动保证在到期前安全。
- SPIFFE/SPIRE 与 Lattice IAM Auth 在结构上有哪两点相似之处？
- A) 二者都使用 X.509 证书，并且都执行 mTLS
- B) 二者都可以避免内嵌长期有效的机密材料，但运行时私钥或临时凭证中的机密材料仍需保护
- C) 二者都要求客户运营 CA，并且都按连接进行身份验证
- D) 二者都支持 AWS 外部的工作负载，并且都按请求进行身份验证
显示答案
答案：B) 二者都可以避免内嵌长期有效的机密材料，但运行时私钥或临时凭证中的机密材料仍需保护
说明：传递 X.509-SVID 时会包含密钥材料；IAM 凭证则包含秘密访问密钥和会话令牌。平台证明会改变凭证的配置方式，但仍需保护套接字/端点、内存和缓存。
- 关键差异 (a)——身份验证方向性变化——在实际中有什么影响？
- A) 客户端证明能力减弱，因此必须由应用程序补偿
- B) 服务器身份验证降至 TLS 服务器证书层级，因此防线会从工作负载双向身份验证转移到用 IAM 控制 Lattice 资源的创建
- C) 保留双向身份验证，因此审查不受影响
- D) 身份验证本身变得不再必要
显示答案
答案：B) 服务器身份验证降至 TLS 服务器证书层级，因此防线会从工作负载双向身份验证转移到用 IAM 控制 Lattice 资源的创建
说明：客户端证明实际上变得更加细粒度（每个请求都通过 SigV4 验证）。问题在于服务器证明：客户端只能确认 TLS 证书有效且域名匹配，却无法像工作负载身份系统那样进一步确认“这确实是那个团队的服务”。相应的做法是通过 IAM 严格限制谁能创建 Lattice Service、控制服务网络关联，并使用 CloudTrail 监控。如果审查文件中写着“mutual authentication”，就必须修改该条目。
- 为什么关键差异 (b)——信任根的所有权转移——会成为金融行业审查中的重要考量？
- A) AWS IAM 不如 SPIRE 安全
- B) 许多组织的安全标准要求，或会被解读为要求，身份验证系统的信任根必须由自身控制；自行运营 CA 是满足这一要求最直接的方式
- C) CloudTrail 不提供审计记录
- D) IAM 策略决策权会转移给 AWS
显示答案
答案：B) 许多组织的安全标准要求，或会被解读为要求，身份验证系统的信任根必须由自身控制；自行运营 CA 是满足这一要求最直接的方式
说明：采用 SPIRE 很可能正是为了通过这项审查。转向 Lattice IAM Auth 意味着需要重新建立论证，其依据可以包括共享责任模型、仍由客户掌握的策略权限（客户仍通过 IAM 定义谁可以调用什么）、CloudTrail 和访问日志提供的审计记录，以及客户不持有 CA 私钥，因而消除了该私钥泄露的风险这一点。但这只能说明“控制方式有所不同”，并不代表“二者等同”；是否接受仍取决于组织标准。D 错误：策略决策权仍由客户掌握。
- 迁移到 Lattice 后，在什么情况下可能仍需继续运营 SPIRE？
- A) 任何使用 IAM Auth 的情况
- B) 所选架构仍需要 SPIFFE 端点身份，包括端点 mTLS 或受支持的 AWS 外工作负载
- C) 使用 Gateway API Controller 时
- D) 采用多集群部署时
显示答案
答案：B) 所选架构仍需要 SPIFFE 端点身份，包括端点 mTLS 或受支持的 AWS 外工作负载
说明：保留 SPIRE 是架构选择，并非所有 AWS 外工作负载的通用要求。还可以评估其他凭证提供方和受支持的私有网络路径。