4. mTLS与身份认证：Cilium中基于SPIFFE的身份体系、mTLS握手流程、证书轮换与信任锚点配置

在零信任网络架构中，工作负载之间的通信必须经过双向身份验证和加密。Cilium 利用 eBPF 技术，在数据平面高效处理数据包的同时，通过集成 SPIFFE (Secure Production Identity Framework for Everyone) 标准，构建了一套无需 Sidecar 的 mTLS 身份认证体系。本章将深入解析 Cilium 如何通过 SPIRE 实现身份颁发、mTLS 握手流程、证书轮换机制以及信任锚点的配置方法。

4.1 基于 SPIFFE 的身份体系

SPIFFE 定义了一套标准化的身份规范，即 SPIFFE ID，格式通常为 spiffe://trust-domain/workload-identifier。Cilium 通过 SPIRE (SPIFFE Runtime Environment) 作为身份提供商，为每个 Kubernetes Pod 颁发唯一的 SPIFFE 身份。

4.1.1 身份体系架构

下图展示了 Cilium 与 SPIRE 集成的身份颁发与验证架构：

4.1.2 身份生命周期管理

4.2 mTLS 握手流程

Cilium 的 mTLS 握手在数据平面由 eBPF 程序辅助完成，控制平面由 Cilium Agent 与 SPIRE 协作。与传统 Sidecar 模式不同，Cilium 避免了额外的代理跳数，直接在网络栈中完成 TLS 终止。

4.2.1 握手步骤详解

1. 客户端发起连接： Pod A 向 Pod B 发送 TCP SYN 包，Cilium 的 eBPF 程序拦截该包，识别出目标身份需要 mTLS。
2. 身份请求： Cilium Agent 从 SPIRE Agent 获取 Pod A 的 SVID（客户端证书）和私钥。
3. 证书交换： 在 eBPF 层面，Cilium 将 SVID 注入到 TLS 握手消息中，发送给 Pod B。
4. 服务端验证： Pod B 侧的 Cilium Agent 通过 SPIRE Agent 验证客户端证书的 SPIFFE ID 是否在信任锚点内。
5. 双向认证： 服务端同样发送自己的 SVID，客户端进行验证。
6. 加密通信： 握手完成后，eBPF 程序建立对称加密隧道，后续数据包直接加密传输。

4.2.2 握手流程示意图

4.3 证书轮换与信任锚点配置

证书轮换是维持 mTLS 安全性的关键。Cilium 与 SPIRE 的集成实现了自动化的 SVID 轮换，无需重启工作负载。信任锚点则定义了集群内所有工作负载必须信任的根 CA。

4.3.1 证书轮换机制

4.3.2 信任锚点配置

信任锚点通常由 SPIRE Server 的根 CA 证书定义。在 Cilium 中，可以通过 CiliumNetworkPolicy 或 SPIRE 的配置来指定信任域。

SPIRE Server 信任锚点配置示例：

# spire-server.conf
server {
    trust_domain = "production.example.com"
    ca_subject = {
        country = "CN"
        organization = "Example Corp"
        common_name = "SPIRE CA"
    }
    ca_ttl = "8760h"  # 根 CA 有效期 1 年
}

Cilium 中引用信任锚点的策略示例：

apiVersion: "cilium.io/v2"
kind: CiliumNetworkPolicy
metadata:
  name: "mTLS-policy"
spec:
  endpointSelector:
    matchLabels:
      app: frontend
  ingress:
  - fromEndpoints:
    - matchLabels:
        app: backend
    authentication:
      mode: "required"
      spire:
        trustDomain: "production.example.com"

4.3.3 信任锚点配置对比

4.4 性能调优建议

• 证书缓存： 增大 SPIRE Agent 的 SVID 缓存大小（svid_cache_max_entries），减少重复获取开销。
• 握手超时： 调整 Cilium Agent 的 tls-handshake-timeout 参数，默认 10 秒，高并发场景可适当降低。
• eBPF 加速： 确保内核版本 >= 5.10，启用 XDP 和 TC 加速，减少 mTLS 握手对 CPU 的消耗。
• 监控指标： 关注 cilium_agent_spire_svid_rotation_count 和 cilium_agent_tls_handshake_duration_seconds，及时发现轮换延迟或握手失败。