RATATOSKRATATOSK
로그인

SPIRE

v1.16.0Security
2026년 11월 5일

CHECK 6PLAN 2OTHER 40

실험 기능과 외부 연동이 추가되고, 기본 동작 변경과 설정 및 기능 제거가 함께 포함된 릴리스입니다. 정확성과 성능을 높이는 수정도 폭넓게 반영되었습니다.

영향 확인 (6)

  • security컨테이너 위치 탐색의 mountinfo fallback 제거

    docker 또는 k8s 워크로드 증명기를 사용하는 경우에 적용됩니다.

    컨테이너 위치를 찾을 때 사용하던 mountinfo fallback이 제거되었습니다. 이 동작은 docker 및 k8s 워크로드 증명기에서 사라졌습니다.

  • breaking에이전트 SPIFFE ID 경로 제한

    외부 플러그인을 사용하거나 agent_path_template을 설정한 경우에 적용됩니다.

    에이전트의 SPIFFE ID는 이제 /spire/agent 아래에 있어야 합니다. 다른 경로의 ID를 만드는 증명은 실험 설정인 allow_nonconforming_agent_ids를 지정하지 않으면 실패합니다.

  • breaking루트리스 Podman 증명 옵션 요구

    docker 워크로드 증명기로 루트리스 Podman을 사용하면서 use_rootless_podman을 설정하지 않은 경우에 적용됩니다.

    루트리스 Podman 워크로드 증명에는 docker 워크로드 증명기의 use_rootless_podman 옵션이 필요합니다.

  • breakingBroker API의 JWT-SVID 제공 중단

    관리자 항목이나 하위 항목에 Broker API를 사용하는 경우에 적용됩니다.

    Broker API는 관리자 항목이나 하위 항목에 더 이상 JWT-SVID를 제공하지 않습니다.

  • breakingca_journals 스키마 확장

    disable_migration을 설정한 경우에 적용됩니다.

    SQL 데이터 저장소의 ca_journals 테이블에 앞으로 사용할 journal_id 열이 추가됩니다. disable_migration을 설정한 배포는 이 스키마 마이그레이션을 준비해야 합니다.

  • breakinguse_sync_authorized_entries 제거

    use_sync_authorized_entries를 설정한 경우에 적용됩니다.

    에이전트 옵션 use_sync_authorized_entries가 제거되었습니다.

미리 준비 (2)

  • deprecatedNotifier 플러그인 사용 중단 예정

    Notifier 플러그인을 사용하는 경우에 적용됩니다.

    Notifier 플러그인은 사용 중단이 예정되었으며, 대신 BundlePublisher 플러그인을 사용하도록 변경됩니다.

  • deprecatedOIDC 인증서 설정 변경

    acme 또는 serving_cert_file을 설정한 경우에 적용됩니다.

    OIDC 디스커버리 제공자의 acme 및 serving_cert_file 설정은 사용 중단이 예정되었습니다. 인증서 설정에는 serving_cert_source를 사용합니다.

그 외 기록된 변경 40건 전체additions 18 · fixes 13 · value changes 6 · constraints 2 · defaults 1

additions (18)

  • Experimental WIT-SVID support, enabled with the enable_wit_svids server and agent options, including Workload API methods, a spire-agent api fetch wit CLI command, an agent-side WIT-SVID cache, per-entry and default (default_wit_svid_ttl) WIT-SVID TTLs, and publishing of WIT signing keys through the spire UpstreamAuthority plugin (#7243, #7244, #7273, #7282, #7302, #7306, #7354)
  • kmip KeyManager plugin for storing keys in KMIP-compliant servers (#7235)
  • Microsoft Entra ID authentication for Azure PostgreSQL and MySQL in the sql datastore (#7279)
  • In-process log file rotation via the log_file_rotation agent and server option (#7229)
  • Support for triggering a log file reopen on Windows, and external tools can now move or delete the log file on Windows (#7248, #7269)
  • Experimental use_xds agent option to resolve the SPIRE server via xDS (#7256)
  • Experimental server_load_balancing_config agent option to configure the load balancing policy used for connections to the server (#7241)
  • Experimental agent options to configure the sync retry backoff (sync_retry_backoff), rpc_timeout and max_bundle_workers (#7093, #7286)
  • bootstrap_bundle_path option on federates_with to bootstrap https_spiffe federation trust from a file (#7260)
  • serving_cert_source section in the OIDC Discovery Provider, including a workload_api variant that serves HTTPS using an X509-SVID from the Workload API (#7285)
  • audit_log_exclude_agent_sync server option to omit successful bundle and authorized-entry read audit records (#7328)
  • group_template and allowed_groups options in the x509pop node attestor to produce group selectors (#7002)
  • extension_oids option in the x509pop node attestor to expose certificate extensions as selectors (#7327)
  • Subject attribute selectors by OID in the tpm_devid node attestor (#7312)
  • Optional verify_client_ip in the sshpop and http_challenge node attestors (#7191, #7240)
  • trust_bundle_path option in the azure_imds node attestor for additional root CAs (#7143)
  • exclude_completed_pods option in the k8s workload attestor to drop completed pods from the kubelet cache (#7177)
  • CA rotation horizon metrics (#7325)

fixes (13)

  • The agent retries NewJWTSVID with backoff on transient errors (#7169)
  • Cached SVIDs are invalidated when their registration entry changes substantially, preventing workloads from receiving SVIDs issued for a different entry (#7310)
  • LRU cache subscribers now match on complete selector sets (#7257)
  • aws_secretsmanager and gcp_secretmanager SVIDStore plugins now handle federated bundles with multiple or no roots (#7309)
  • The server keeps processing bundle updates after a single failure (#7319)
  • Bundle subscribers are notified when a bundle is removed (#7331)
  • The OIDC Discovery Provider now allows CORS (#7224)
  • The rotator failure count is reset after a successful rotation (#7254)
  • log_file is no longer opened when validating configuration (#7247)
  • The agent and server no longer exit as crashed on gRPC context canceled errors during startup (#7274)
  • No more spurious warning on profiling server shutdown (#7211)
  • The server CA now honors upstream X.509 chain expiry during rotation (#7303)
  • The agent no longer panics during workload attestation when sigstore verification meets a signature that has a Rekor entry but no Rekor bundle (#7363)

value changes (6)

  • The cache_manager/expiring_svids and cache_manager/outdated_svids samples now carry an svid_type label (X509 or WIT), so counts are reported per SVID type (#7244)
  • DNS names are case-folded before IDNA validation (#7255)
  • Reduced database load for entry writes, attested node cache rebuilds and agent authorization (#7182, #7218, #7304)
  • Reduced memory usage when fetching kubelet pod lists (#7320)
  • Fulcio roots are now loaded through sigstore-go TUF APIs, honoring TUF_ROOT and SIGSTORE_NO_CACHE (#7263)
  • Updated Go to 1.27.3 (#7252, #7267, #7346, #7353)

constraints (2)

  • The k8s_psat node attestor now rejects attestations when the fetched pod UID does not match the token's pod UID (#7117)
  • Pagination tokens larger than 32 bits are now accepted by the datastore (#7201)

defaults (1)

  • The k8s workload attestor broker configuration now applies sensible defaults, so brokers no longer need to be specified twice (#7187)
SPIRE 스택에 추가

조치가 필요한 릴리스가 나왔을 때 주간 메일로 알려드립니다. 이번 릴리스의 보안 패치와 브레이킹 체인지 같은 것들입니다.

스택에 추가 →
공식 릴리스 노트 ↗SPIRE 릴리스 전체 →