SPIRE 系列第二篇：在理解 Workload Identity 与 Zero Trust 目标之后，拆开 SPIRE Server、Agent、Registration Entry、Workload API、部署模式与插件体系。

SPIRE 系列第一篇：从为什么需要 Workload Identity 开始，解释 SPIFFE/SPIRE 的核心概念、落地路径、部署模式和资源成本，为后续架构、安全与实战 Lab 打基础。

很多团队把 TLS 证书当成一次性配置，直到某个周五晚上证书快过期了，才想起这件事不能靠日历提醒。本文以 Kubernetes 服务为例，讲清楚怎么把 cert-manager 当执行层，把 Venafi 当策略和 CA 门卫，做到声明式签发、自动续期、私钥轮转，以及应用侧平滑 reload。

讲清楚 workload identity 是什么、为什么它比长期凭证更靠谱，以及在 Kubernetes 和云平台里如何落地。

过程式是“我来一步步做”，命令式是“你按我说的做”，声明式是“我只说我想要什么，怎么做到你自己想办法”。这背后不是语法之争，而是复杂系统时代的协作方式升级。

Node Role 像一把“万能钥匙”。IRSA 让你把权限精确绑定到 Pod：用 Kubernetes 的 ServiceAccount token 走 OIDC 联邦，去 STS 换临时凭证。

一篇关于在树莓派上安装和使用 K3s 的实战指南，涵盖安装步骤、典型用例和最佳实践