当应用从单体走向容器与微服务，云上的东西向流量远超南北向流量，以防火墙和 VPN 为核心的边界防护逐渐失效。攻击者一旦通过一个容器或某个第三方依赖进入内网，就能横向移动。于是，业界把安全的重心从“网络在哪里”转向“这个工作负载是谁”，工作负载身份（Workload Identity）正成为云原生安全的新边界。
为什么网络边界不再可靠
在虚拟机时代，IP 地址常被当作身份，安全策略围绕网段展开。但在 Kubernetes 中，Pod 的 IP 随调度不断变化，弹性伸缩让实例数量分钟级波动，基于 IP 的白名单既难以维护，也无法表达“仅允许订单服务访问支付服务”这类意图。更关键的是，云上大量使用托管服务与第三方 API，凭证一旦硬编码在配置或镜像里，泄露后几乎无法快速撤销与追溯。
身份从静态密钥走向短时凭证
当前主流做法，是为每个工作负载签发可验证、生命周期极短的密码学身份。SPIFFE/SPIRE 定义了跨平台的身份标识规范，SVID 以证书或 JWT 形式呈现；服务网格通过自动 mTLS 完成加密与双向认证，证书轮换由控制面完成，应用几乎无感。云厂商则提供 IAM 角色与 OIDC 联邦，让 Pod 直接换取临时云凭证，替代长期 Access Key。二者结合，形成“内部身份加云端授权”的两层结构。
落地时绕不开的三件事
- 身份目录与治理：需要明确身份的签发者、命名规则与生命周期，避免出现无人管理的“影子身份”；
- 策略一致性：同一套“谁可以访问谁”的策略，应能同时覆盖容器、虚拟机、Serverless 与混合云环境；
- 可观测与审计：每一次身份认证与授权都应有日志，并与运行时威胁检测联动，才能及时发现异常调用。
从单点试点走向平台能力
早期试点多集中在单个集群，随着规模扩大，身份管理会沉淀为平台能力：统一签发、统一策略、统一审计，并向边缘节点与分支机构延伸。对多数企业而言，务实路径是先把长期密钥替换为短时凭证，再逐步引入服务间的强身份认证，而不是一次性重构全部应用。
工作负载身份并不是新名词，但它正在从“可选项”变成云上安全的基础设施。当身份取代网段成为访问控制的起点，云的弹性与安全才有机会真正统一。