.png)
The DigitalOcean Blog
·
基于OAuth应用的Droplets工作负载身份
💡
原文英文，约1700词，阅读约需7分钟。
📝
内容提要
这篇文章是关于工作负载身份联合的第一部分，介绍了其架构及如何利用DigitalOcean的OAuth API实现。工作负载身份通过非对称加密减少软件系统中的秘密，使用JWT进行身份验证。文章还讨论了如何配置角色和策略，以便从Droplets和GitHub Actions访问数据库和Spaces密钥，消除静态凭证的需求。
🎯
关键要点
- 这篇文章是关于工作负载身份联合的第一部分，介绍了其架构及如何利用DigitalOcean的OAuth API实现。
- 工作负载身份通过非对称加密减少软件系统中的秘密，使用JWT进行身份验证。
- 文章讨论了如何配置角色和策略，以便从Droplets和GitHub Actions访问数据库和Spaces密钥，消除静态凭证的需求。
- 工作负载身份联合的核心是非对称加密，通过公钥/私钥对为工作负载发放令牌，用于API的身份验证和授权。
- OIDC令牌是JSON Web令牌（JWT），通过私钥进行加密签名，公钥通过JSON Web密钥（JWK）格式提供。
- 工作负载身份RBAC要求基础设施能够对工作负载的属性进行可验证的声明，确保令牌的安全性。
- PoC的目标是允许用户轻松配置Droplet访问团队资源，消除硬编码敏感值的需求。
- Caddy作为反向代理，处理DigitalOcean API的OAuth路由和工作负载身份的请求。
- 在Droplet创建请求中，代理应用程序拦截请求并创建一个JWT的配置令牌，注入到Droplet中。
- 工作负载身份令牌在Droplet首次启动时通过cloud-init绑定，并通过SSH密钥验证签名。
- 工作负载身份令牌可以用于访问Spaces密钥和数据库信息，确保请求数据的有效性。
- 文章最后将部署应用程序到DigitalOcean App Platform，并配置角色和策略以实现工作负载身份联合。
❓
延伸问答
什么是工作负载身份联合？
工作负载身份联合是一种通过非对称加密减少软件系统中秘密的方法，利用公钥/私钥对为工作负载发放令牌，用于API的身份验证和授权。
如何使用DigitalOcean的OAuth API实现工作负载身份？
可以通过配置角色和策略，利用DigitalOcean的OAuth API和OIDC令牌，实现Droplets和GitHub Actions对数据库和Spaces密钥的访问。
工作负载身份令牌的安全性如何保障？
工作负载身份令牌的安全性依赖于对令牌的正确验证，包括OIDC协议规范、令牌声明的定义和RBAC配置。
在Droplet创建请求中，如何处理JWT配置令牌？
在Droplet创建请求中，代理应用程序拦截请求并创建一个JWT的配置令牌，注入到Droplet的用户数据中。
工作负载身份RBAC的作用是什么？
工作负载身份RBAC确保基础设施能够对工作负载的属性进行可验证的声明，从而有效管理访问控制。
如何消除静态凭证的需求？
通过使用工作负载身份令牌，Droplets和GitHub Actions可以安全地访问数据库和Spaces密钥，消除硬编码静态凭证的需求。
➡️
