SPIFFE/SPIRE
CNCF开源的云原生工作负载身份框架，SPIFFE定义工作负载身份标准规范，SPIRE是其参考实现，为微服务和容器化环境提供自动化的X.509证书颁发与服务间身份认证
时间轴 (近 90 天)
短期凭证指有效期很短（通常几分钟到几小时）且可自动轮换的访问凭证，常见实现包括 OAuth 的 client credentials 流配合短 TTL，或基于 SPIFFE/SPIRE 等 workload identity 框架签发的 SVID。
可验证代理身份（Verifiable Agent Identity）指的是代理在与下游服务交互时，能够以密码学可验证的方式证明自身身份及其被授予的权限范围，而非仅依赖静态凭证（如服务账户密钥）。
可验证身份通常绑定短时令牌、工作负载证明（如 SPIFFE/SPIRE 的 SVID）或硬件根信任，使每次调用都能被追溯和约束。
凭证代理模式在云原生领域已有成熟先例，如 HashiCorp Vault 的动态密钥和 SPIFFE/SPIRE 的工作负载身份。
业界正在推动的机器身份管理方案包括：为每个机器身份签发短期证书（如SPIFFE/SPIRE标准）、用OAuth 2.0客户端凭证模式替代静态密钥、将机器身份纳入与人类用户相同的策略引擎。
X.509 证书链和 SPIFFE/SPIRE 工作负载身份框架为委托链的可追溯性提供了技术参照
针对游离于SCIM之外的凭证类型，业界通常需要引入机密管理工具（如 HashiCorp Vault、AWS Secrets Manager）或工作负载身份方案（如 SPIFFE/SPIRE）来补充治理
全部知识事实 (7)
短期凭证指有效期很短（通常几分钟到几小时）且可自动轮换的访问凭证，常见实现包括 OAuth 的 client credentials 流配合短 TTL，或基于 SPIFFE/SPIRE 等 workload identity 框架签发的 SVID。
50%待验证可验证代理身份（Verifiable Agent Identity）指的是代理在与下游服务交互时，能够以密码学可验证的方式证明自身身份及其被授予的权限范围，而非仅依赖静态凭证（如服务账户密钥）。
50%待验证可验证身份通常绑定短时令牌、工作负载证明（如 SPIFFE/SPIRE 的 SVID）或硬件根信任，使每次调用都能被追溯和约束。
50%待验证凭证代理模式在云原生领域已有成熟先例，如 HashiCorp Vault 的动态密钥和 SPIFFE/SPIRE 的工作负载身份。
50%待验证业界正在推动的机器身份管理方案包括：为每个机器身份签发短期证书（如SPIFFE/SPIRE标准）、用OAuth 2.0客户端凭证模式替代静态密钥、将机器身份纳入与人类用户相同的策略引擎。
50%待验证X.509 证书链和 SPIFFE/SPIRE 工作负载身份框架为委托链的可追溯性提供了技术参照
50%待验证针对游离于SCIM之外的凭证类型，业界通常需要引入机密管理工具（如 HashiCorp Vault、AWS Secrets Manager）或工作负载身份方案（如 SPIFFE/SPIRE）来补充治理
50%