この仕様の解説はまだ書かれていない。下の要約・関係・対応状況は維持されている。
CNCF のワークロードアイデンティティ標準。SPIFFE ID、X.509 と JWT の SVID、Workload API を定め、SPIRE が実装する。
SPIFFE
CNCF のワークロードアイデンティティ標準。SPIFFE ID、X.509 と JWT の SVID、Workload API を定め、SPIRE が実装する。
他の仕様との関係
関係図
flowchart LR s_spiffe["SPIFFE"] s_wimse_arch["WIMSE Architecture"] s_spiffe_client_auth["OAuth SPIFFE Client Authentication"] s_workload_identity_practices["Workload Identity Practices"] s_wimse_identifier["Workload Identifier"] style s_spiffe stroke-width:3px s_wimse_arch -->|組み合わせ| s_spiffe s_spiffe_client_auth -->|土台とする仕様| s_spiffe s_workload_identity_practices -->|組み合わせ| s_spiffe s_wimse_identifier -->|組み合わせ| s_spiffe
公式に文書化された対応
利用状況には、公式のドキュメント（ベンダーやプロジェクト自身のもの、または標準化団体がその名前を挙げているページ）に対応が明記されているものだけを載せている。引用した文言がそのページにまだあるかは毎週確認している。実験的・アルファ・ベータの対応は「プレビュー」として別に数える。
製品・IdP・サービス
- Istio (製品): SPIRE 連携ガイドで、ワークロードが使う SPIFFE ID の形式を定めている 出典 (確認 2026-11-11)
- Google Cloud (クラウド): マネージドなワークロードアイデンティティが SPIFFE に基づいている 出典 (確認 2026-11-11)
- Anthropic (Claude API) (製品): ワークロードアイデンティティ連携で SPIFFE の JWT-SVID を受け付ける 出典 (確認 2026-11-11)
- OpenAI API (製品): ワークロードアイデンティティ連携で SPIFFE の JWT-SVID を subject token として受け付ける 出典 (確認 2026-11-11)
動き
Datatracker の revision 履歴、このサイトの日次 run が書いた解説、draft 名を挙げた ML の件名。
このサイトの解説
- 編集上の変更OAuth WG
このプルリクエストは、クライアントメタデータ文書のせいでトークンリクエストが拒否されてしまう SPIFFE クライアント認証の例を修正する。
解説を読む
JWT-SVID の例のクライアント ID メタデータ文書には、トークンエンドポイントの認証方式が含まれていなかった。Client ID Metadata Document ドラフトによれば、その場合に認可サーバーは none を想定しなければならず、クライアント認証を含むリクエストは invalid_client で拒否される。例のトークンリクエストは JWT-SVID の client_assertion を用いるため、拒否されてしまう。本プルリクエストは、例に値 spiffe_jwt を持つ token_endpoint_auth_methods_supported を追加する。これは例の修正であり、プロトコルの変更ではない。