Workload Identity (SPIFFE/SPIRE)
Идентичность рабочей нагрузки (SPIFFE/SPIRE) — стандарт выдачи криптографических идентификаторов сервисам и агентам вместо статичных секретов.Определение на английскомA cryptographically-attested, short-lived identity issued to a running workload — an autonomous AI agent, a service, a container — so it can prove who it is to other services without any shared secret or long-lived key. The open standard is SPIFFE (Secure Production Identity Framework For Everyone); SPIRE is its reference implementation. Each workload receives an SVID (SPIFFE Verifiable Identity Document, an X.509 cert or JWT) issued based on runtime attestation of what the workload actually is and where it runs, rotated automatically so a leaked credential expires in minutes. For AI agents, workload identity answers the 'who is the agent' question independently of OAuth client registration — the March 2026 IETF agent-auth draft proposes agents carry a WIMSE/SPIFFE workload identity as `client_id` alongside the delegated user as `sub`. It's the right primitive for autonomous agents that run without a human in the loop and therefore can't rely on a user's delegated token.
Автор: Max Zeshut
Основатель Agentmelt
Часто задаваемые вопросы
- Когда нужна workload identity вместо OAuth?
- OAuth (с делегированными полномочиями) подходит агентам, действующим от имени конкретного пользователя. Workload identity — автономным агентам и вызовам сервис-сервис, где нет пользователя, от которого делегировать, — агенту всё равно нужно доказать, что он это он. На практике зрелые стеки используют оба: SPIFFE/mTLS для аутентификации сервис-сервис и обмен токенов OAuth поверх для переноса контекста делегирования пользователя. Red Hat продемонстрировала ровно такую композицию в 2026.
- Почему короткоживущие учётные данные?
- Утёкший долгоживущий ключ агента даёт злоумышленнику постоянный доступ, пока кто-то не заметит и не ротирует, — часто месяцы. SPIFFE SVID ротируется автоматически с коротким интервалом, поэтому утёкший бесполезен через минуты. Короткоживущие автоматически ротируемые учётные данные — самое действенное решение проблемы разрастания нечеловеческих идентичностей.