# Security Service Mesh

> Use when working with service mesh security — mTLS, SPIFFE, authorization policies

- Skill: `liaosw97/security-service-mesh` (Agent Skill, multi-file: 2 files)
- Install (CLI): `npx skillmds@latest add liaosw97/security-service-mesh`
- Raw SKILL.md: https://api.skillmd.com/api/skills/liaosw97/security-service-mesh/raw
- Safety review: pending
- Works with: Claude Code, Claude.ai, OpenAI Codex
- Category: Security
- Author: liaosw97 (https://skillmd.com/u/liaosw97)
- Updated: 2026-09-22
- Page: https://skillmd.com/skills/liaosw97/security-service-mesh

---


## 核心原则
- 零信任安全：默认不信任任何服务，所有通信需验证
- 身份为基础：以服务身份为核心构建安全策略
- 深度防御：多层安全机制叠加防护
- 可观测性：全面的流量监控和安全审计

## 技术栈
- 服务网格：Istio、Linkerd、Consul Connect
- 身份认证：SPIFFE/SPIRE、mTLS双向认证
- 访问控制：RBAC、ABAC、OPA(Open Policy Agent)
- 证书管理：Cert-Manager、Vault PKI
- 可观测性：Prometheus、Grafana、Jaeger、Kiali
- 密钥管理：HashiCorp Vault、AWS KMS

## 最佳实践
1. **身份认证**：为每个服务分配唯一身份(SPIFFE ID)，实现自动证书轮换
2. **最小权限**：基于服务身份配置细粒度的授权策略
3. **流量加密**：强制mTLS加密所有服务间通信
4. **策略分层**：命名空间级、服务级、方法级策略逐层细化
5. **渐进式部署**：从PERMISSIVE模式开始，逐步过渡到STRICT模式

## 关键约定
1. **身份认证**：规范SPIFFE标准，统一服务身份格式
2. **流量加密**：实现自动证书轮换，减少运维复杂度
3. **访问控制**：设计细粒度策略，支持动态策略更新
4. **审计追踪**：完善请求日志，支持安全事件溯源
5. **合规基线**：统一安全基线，满足行业合规要求