Linkerd的identity服务负责签发和轮转工作负载证书，通过CSR与Kubernetes ServiceAccount绑定实现mTLS。证书分三层：工作负载证书自动轮转，issuer和trust anchor轮转更重。与Istio SDS不同，Linkerd使用专用gRPC API，排障时先查leaf，再查issuer，最后查anchor，并注意时钟同步和跨集群信任问题。

The Argo CD project released a v3.5 release candidate in June 2026. This version adds mutual TLS enforcement for internal components. It also includes Git commit signature verification for supply...

在微服务系统中，服务间调用普遍存在，传统身份验证方法面临安全和管理挑战。本文探讨了服务身份的重要性，介绍了mTLS的应用及其在Kubernetes中的实现，强调了SPIFFE和SPIRE的角色，以及云厂商的工作负载身份解决方案。这些技术使服务能够获得短期、可验证的身份，从而确保安全的服务间通信。

本文讨论了mTLS在多集群和混合云环境中的工程问题，重点介绍了SPIRE联邦的证书互信机制、根CA的零停机轮换方案以及mTLS握手性能优化。通过双CA过渡策略和证书缓存机制，确保了高效的服务间安全连接，并提供了故障排查路径和工具，帮助运维人员解决常见的mTLS问题。

本文介绍如何在Libevent中基于OpenSSL实现双向认证（mTLS），包括证书准备、服务端和客户端的SSL_CTX配置，以及客户端身份验证的步骤，如加载证书、设置验证选项和检查证书内容。

mTLS（双向TLS）使通信双方互相验证身份，解决微服务中“调用方是谁”的问题。其工程难点在于证书分发与轮换，而非协议本身。最佳实践是短期证书加自动轮换，并借助Service Mesh（如Istio、Linkerd）实现透明化。SPIFFE/SPIRE提供标准化服务身份。部署时应从PERMISSIVE模式渐进迁移至STRICT，并区分认证与授权。

本文介绍了如何在AWS应用负载均衡器(ALB)上实现互相认证的mTLS配置，并使用curl验证设置。mTLS要求服务器和客户端都具有由可信CA颁发的受信任证书。本文使用自签名证书来创建所有必要的证书，并将其上传到AWS服务。通过生成x.509v3配置文件和证书，配置ALB和Lambda函数的mTLS，然后使用cURL测试mTLS握手。最后，确保客户端和ALB之间的通信通过mTLS进行认证，提高应用程序的安全性。

本文介绍了客户端证书验证的概念和实现方法，讨论了移动设备环境下的挑战，并介绍了一种临时解决方案。客户端证书验证是一种在安全访问要求较高的场景下成本较低的实现方案。

2022年12月16日，Cloudflare发现了一个bug，即在有限的情况下，一些拥有吊销证书的用户可能没有被Cloudflare防火墙设置阻止。已经对此bug进行了缓解，并且没有证据表明被利用。已通知可能受影响的客户，以便他们检查日志。Cloudflare防火墙规则的功能是在2021年3月引入的，允许客户吊销或阻止客户端证书，防止其用于身份验证和建立会话。