北京
分享至
GCP里长期有效的服务账号密钥，本质上是一类必须永远保管的机密。它们难以轮换，又极易泄露。Shijin Nair在把Workload Identity Federation推广到120多个生产项目后，得出了一个更彻底的判断：密钥是需要管理的机密，而联合身份是配置一次、靠属性条件约束的信任关系。
密钥与联合身份的本质差别
长期密钥的麻烦在于，它一旦生成，就变成了一串需要持续看护的字符串。轮换要排期，泄露要应急，权限范围还容易越滚越大。联合身份把这件事换了个方向：不再分发密钥，而是在身份提供方和GCP之间建立一次性的信任配置。
属性条件如何替代密钥
这种信任关系不是无条件的。它通过属性条件来限制谁能以什么身份访问什么资源，条件不满足，访问请求根本不会通过。换句话说，控制点从“保管好一串秘密”前移到了“定义清楚一段信任”。
规模化之后的变化
当这套机制覆盖到120多个生产项目时，运维负担并没有线性增加。因为信任关系配置一次即可复用，而密钥管理会随着项目数量不断累积新的轮换和审计任务。这也是为什么作者认为，它改变的不仅是工具，而是看待机器身份的方式。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
