| 本质 | 信任链需要一个不可自证但受保护的根 |
|---|---|
| 常见锚点 | 云平台根密钥（KMS）、CI OIDC 联邦身份、HSM/TPM |
| 落地 | 运行时用平台身份换取短期凭据，长期密钥不落工作负载 |
思路示意
思路示意
工作负载 → 平台身份（如 K8s SA）→ 换取 Vault/云临时凭据 → 访问资源
（链路中没有任何长期静态密钥）方案评估先问：根密钥放在哪、谁能取、多久轮换、泄露后影响多大。
初始密钥问题（Secret Zero）
「保护密钥的密钥从哪来」：自举信任要从外部锚点获得——云 KMS、硬件令牌、CI 的平台身份，避免无限套娃。
易错点
- 把根密钥写进编排清单：等于把答案与锁放一起，改走平台身份
- 自举流程无人演练：故障时才发现无法重建信任链，定期演练恢复
数据来源与参考
- HashiCorp《Secret Zero》白皮书
- AWS《IAM Roles for Service Accounts》