SPIRE Server 配置参考

本文描述了 SPIRE Server 的命令行选项、server.conf 设置和内置插件。

本文档是 SPIRE Server 的配置参考。它包括有关插件类型、内置插件、服务器配置文件、插件配置和 spire-server 命令的命令行选项的信息。

插件类型

内置插件

服务器配置文件

下表概述了 SPIRE 服务器的配置选项。这些可以在配置文件的顶级 server { ... } 部分中设置。大多数选项都有一个相应的 CLI 标志，如果设置了该标志，则该标志优先于文件中定义的值。

SPIRE 配置文件可以用 HCL 或 JSON 表示。请参阅示例配置文件部分以获取完整示例。

如果 -expandEnv 标志传递给 SPIRE，则在解析之前扩展 $VARIABLE 或 ${VARIABLE} 样式环境变量。这对于模板化配置文件（例如跨不同信任域）或插入数据库连接密码等机密可能很有用。

分析名称

这些是可以在 profiling_freq 配置值中设置的可用配置文件：

• goroutine
• threadcreate
• heap
• block
• mutex
• trace
• cpu

插件配置

服务器配置文件还包含各种 SPIRE 服务器插件的配置部分。插件配置位于顶级 plugins { ... } 部分，其格式如下：

plugins {
    pluginType "pluginName" {
        ...
        plugin configuration options here
        ...
    }
}

以下配置选项可用于配置插件：

请参阅下面的内置插件部分，了解有关开箱即用的插件的信息。

联邦配置

SPIRE 服务器可以配置为与位于不同信任域中的其他 SPIRE 服务器联合。SPIRE 支持在 SPIRE 服务器配置文件中（静态关系）和通过信任域 API（动态关系）配置联合关系。本节介绍如何在配置文件中配置静态定义的关系。

注意：静态关系优先于动态关系。如果需要配置动态关系，请参见 federation 命令。静态关系不会反映在 federation 命令中。

配置联合信任域允许信任域对其他 SPIFFE 机构颁发的身份进行身份验证，从而允许一个信任域中的工作负载安全地对外部信任域中的工作负载进行身份验证。实现联合的一个关键要素是使用 SPIFFE 捆绑端点，这些资源（由 URL 表示）为信任域提供信任捆绑的副本。使用 federation 部分，你将能够将 SPIRE 设置为 SPIFFE 捆绑包端点服务器，并配置此 SPIRE 服务器将从中获取捆绑包的联合信任域。

server {
    .
    .
    .
    federation {
        bundle_endpoint {
            address = "0.0.0.0"
            port = 8443
            refresh_hint = "10m"
            profile "https_web" {
                acme {
                    domain_name = "example.org"
                    email = "[email protected]"
                }
            }
        }
        federates_with "domain1.test" {
            bundle_endpoint_url = "https://1.2.3.4:8443"
            bundle_endpoint_profile "https_web" {}
        }
        federates_with "domain2.test" {
            bundle_endpoint_url = "https://5.6.7.8:8443"
            bundle_endpoint_profile "https_spiffe" {
                endpoint_spiffe_id = "spiffe://domain2.test/beserver"
            }
        }
    }
}

federation.bundle_endpoint 部分是可选的，用于在 SPIRE 服务器中设置 SPIFFE 捆绑端点服务器。 federation.federates_with 部分也是可选的，用于配置与外部信任域的联合关系。此部分用于 SPIRE 服务器将定期获取捆绑包的每个联合信任域。

federation.bundle_endpoint 的配置选项

此可选部分包含 SPIRE 服务器用于公开捆绑端点的配置。

federation.bundle_endpoint.profile 的配置选项

当设置 bundle_endpoint 时，它是 required 来指定捆绑配置文件。

允许的配置文件：

• https_web 允许配置自动证书管理环境部分。
• https_spiffe

federation.bundle_endpoint.profile "https_web".acme 的配置选项

federation.bundle_endpoint.profile "https_spiffe" 的配置选项

默认捆绑配置文件配置。

federation.federates_with["<trust domain>"].bundle_endpoint 的配置选项

可选的 federates_with 部分是捆绑端点配置文件配置的映射，以该服务器想要联合的 "<trust domain>" 的名称为键。此部分具有以下可配置项：

SPIRE 支持 https_web 和 https_spiffe 捆绑端点配置文件。

https_web 配置文件不需要额外的设置。

使用 https_spiffe 捆绑端点配置文件配置的信任域必须使用 endpoint_spiffe_id 设置作为配置的一部分来指定远程 SPIFFE 捆绑端点服务器的预期 SPIFFE ID。

有关 SPIFFE 中定义的不同配置文件的更多信息，以及设置 SPIFFE 联合的安全注意事项，请参阅 SPIFFE 联邦标准。

遥测配置

请参阅遥测配置指南，了解有关配置 SPIRE 服务器以发出遥测数据的更多信息。

健康检查配置

服务器可以公开可用于健康检查的附加端点。它可以通过设置 listener_enabled = true 来启用。目前它公开了 2 条路径：一条用于活动（服务器是否已启动？），另一条用于准备（服务器是否准备好服务请求？）。默认情况下，健康检查端点将侦听 localhost:80，除非另有配置。

health_checks {
        listener_enabled = true
        bind_address = "localhost"
        bind_port = "8080"
        live_path = "/live"
        ready_path = "/ready"
}

命令行选项

spire-server run

上面的大多数配置文件选项都有相同的命令行对应项。此外，还可以使用以下标志。

将 SPIRE Server 作为 Windows 服务运行

在 Windows 平台上，SPIRE Server 可以选择作为 Windows 服务运行。作为 Windows 服务运行时，唯一支持的命令是 run 命令。

注意：SPIRE 不会自动在系统中创建该服务，必须由用户创建。启动服务时，使用 run 命令执行 SPIRE Server 的所有参数都必须作为服务参数传递。

创建 SPIRE Server Windows 服务的示例

> sc.exe create spire-server binpath=c:\spire\bin\spire-server.exe

运行 SPIRE Server Windows 服务的示例

> sc.exe start spire-server run -config c:\spire\conf\server\server.conf

spire-server token generate

生成一个节点加入令牌并为其创建一个注册条目。该令牌可用于引导一个 spire-agent 安装。除了基于令牌的 ID 之外，可选的 -spiffeID 可用于为令牌提供人类可读的注册条目名称。

spire-server entry create

创建注册条目。

spire-server entry update

更新注册条目。

spire-server entry count

显示注册条目总数。

spire-server entry delete

删除指定的注册条目。

spire-server entry show

显示配置的注册条目。

spire-server bundle count

显示捆绑包的总数。

spire-server bundle show

显示服务器信任域的捆绑包。

spire-server bundle list

显示联合捆绑包。

spire-server bundle set

创建或更新信任域的捆绑数据。此命令不能用于更改服务器信任域捆绑，只能用于其他信任域的捆绑。

spire-server bundle delete

删除信任域的捆绑数据。该命令不能用于删除服务器信任域捆绑，只能删除其他信任域的捆绑。

spire-server federation create

创建与外部信任域的动态联合关系。

spire-server federation delete

删除动态联合关系。

spire-server federation list

列出所有动态联合关系。

spire-server federation refresh

从指定的联合信任域刷新捆绑包。

spire-server federation show

显示动态的联邦关系。

spire-server federation update

更新与外部信任域的动态联合关系。

spire-server agent ban

根据 spiffeID 禁止已证明的节点。被禁止的证明节点无法重新证明。

spire-server agent count

显示已证明的节点总数。

spire-server agent evict

在给定 spiffeID 的情况下取消对已认证节点的认证。

spire-server agent list

显示已证明的节点。

spire-server agent show

显示给定 spiffeID 的已证明节点的详细信息（包括节点选择器）。

spire-server healthcheck

检查 SPIRE 服务器的健康状况。

spire-server validate

验证 SPIRE 服务器配置文件。参数与 spire-server run 相同。通常，你可能至少需要：

spire-server x509 mint

铸造 X509-SVID。

spire-server jwt mint

铸造 JWT-SVID。

-data 的 JSON 对象

传递给 entry create/update 的 -data 的 JSON 对象需要以下形式：

{
    "entries":[]
}

入口对象在公共 protobuf 文件中由 RegistrationEntry 描述。

注意：要创建节点条目，请将 parent_id 设置为特殊值 spiffe://<your-trust-domain>/spire/server 。这就是在 cli 上传递 -node 标志时代码所做的事情。

配置文件示例

本节包括用于格式化和语法参考的示例配置文件

server {
    trust_domain = "example.org"

    bind_address = "0.0.0.0"
    bind_port = "8081"
    log_level = "INFO"
    data_dir = "/opt/spire/.data/"
    default_x509_svid_ttl = "6h"
    default_jwt_svid_ttl = "5m"
    ca_ttl = "72h"
    ca_subject {
        country = ["US"]
        organization = ["SPIRE"]
        common_name = ""
    }
}

telemetry {
    Prometheus {
        port = 1234
    }
}

plugins {
    DataStore "sql" {
        plugin_data {
            database_type = "sqlite3"
            connection_string = "/opt/spire/.data/datastore.sqlite3"
        }
    }
    NodeAttestor "join_token" {
        plugin_data {}
    }
    KeyManager "disk" {
        plugin_data {
            keys_path = "/opt/spire/.data/keys.json"
        }
    }
}