文章列举了Percona博客上关于数据库技术的最新文章，涵盖PostgreSQL供应商锁定风险、AWS FSx复制延迟问题，以及MongoDB软件物料清单等主题。摘要聚焦于这些技术文章的核心内容，忽略无关页面元素。

Kubernetes 1.37 推出 Pod Certificates 和 Cluster Trust Bundles，内置 X.509 证书签发，用于 TLS/mTLS，解决服务账户 JWT 的 bearer token 安全问题。该机制通过非对称签名实现持有证明，架构灵活，支持多种证书类型，但需安装第三方签名器（如 Tinycert）试用。

Linkerd的identity服务负责签发和轮转工作负载证书，通过CSR与Kubernetes ServiceAccount绑定实现mTLS。证书分三层：工作负载证书自动轮转，issuer和trust anchor轮转更重。与Istio SDS不同，Linkerd使用专用gRPC API，排障时先查leaf，再查issuer，最后查anchor，并注意时钟同步和跨集群信任问题。

本文介绍Linkerd 2.20运维要点：控制面升级需按CRD、控制面、数据面顺序执行；trust anchor轮转必须使用bundle过渡并滚动全网格，否则导致TLS握手失败；2.20优化destination内存，但需先确认版本；文档引用应以tag为准，避免live文档误导。

本文介绍Envoy Gateway v1.9.0的TLS与SDS机制。核心内容：Gateway listener终止客户端TLS，BackendTLSPolicy管理到后端的上游TLS，两者使用不同证书。v1.9破坏性变更包括：SDS URL必须带unix://前缀，系统CA改为共享system_ca_certificates secret，旧EnvoyPatchPolicy匹配的secret/cluster名失效。升级前需检查patch配置，避免静默失配。

Cloudflare的证书透明度监控现已正式可用，并新增过滤功能，自动排除其自身签发的证书（如Universal SSL、Advanced Certificate Manager等），减少用户收到的常规续期噪音。该功能通过记录SPKI哈希值来识别自家证书，仅对非Cloudflare签发的证书发送警报，同时改进邮件通知，并计划集成到Cloudflare Notifications中。

谷歌AI专业证书课程新增“vibe coding”课程，用户可用日常语言描述需求，由AI生成代码构建应用，无需编程经验。该课程已成为Coursera最受欢迎的生成式AI证书，沃尔玛、Verizon等公司用于员工培训，帮助开发定制工具，提升效率。

本文介绍Istio控制面中PeerAuthentication和AuthorizationPolicy两种安全策略的翻译与分发机制。PeerAuthentication管理入站连接的mTLS要求，AuthorizationPolicy编译为RBAC过滤器。CUSTOM操作通过shadow RBAC评估和metadata门控调用外部授权服务。证书由istiod CA签发，经istio-agent本地SDS服务器分发给Envoy，身份匹配依赖mTLS对端证书中的SPIFFE身份。

绿盟科技获得国内首张智能体管理能力成熟度L2级认证（001号证书），并深度参与相关标准制定。公司通过“清风卫”和“风云卫”产品构建四道防线，解决智能体身份认证、权限边界等核心问题，同时发布风险报告预判趋势，巩固其在AI安全领域的领先地位。