AIサービス間通信をService Mesh mTLS化

AI/Agentサービス間のeast-west通信をservice meshで捕捉すると、workload identity付きmTLSによる相互認証と通信暗号化を集中できます。ただしmTLS成立をleast-privilege authorization、全経路のmesh化、application-level安全性とは同一視しません。

IstioではPERMISSIVEとSTRICTを区別します。plaintextを許容しない対象ではPeerAuthentication STRICT等の実効設定を確認します。Linkerdのautomatic mTLSもmeshed-to-meshed trafficが対象であり、unmeshed sourceやskip/bypass pathを別途確認します。

service identityをstatic shared secretではなくworkload identityへ結び付けます。SPIFFE/SPIRE等を使う場合も、SVID発行だけをprotected pathの証明にせず、実際のproxy/workload integration、trust domain、trust bundle、attestationを確認します。

mTLSはpeer authenticationとtransport protectionであり、action/resource authorizationではありません。mTLS identityを入力に、service/port/route/action単位のauthorizationを別controlとして適用します。default behavior、DENY/ALLOW evaluation、health probe例外を製品ごとに固定します。

namespace/workload enrollment、sidecar/ztunnel/proxy、CNI/iptables、excluded ports、hostNetwork/direct path、ingress/egress/gateway、multi-cluster経路をinventoryします。meshを迂回できる経路が残る場合、mesh policyを完全なenforcement pointとは扱いません。

trust domain、CA/issuer、trust anchor、certificate TTL/rotation、federationを運用対象にします。rotation失敗やtrust mismatchをsecurityだけでなくavailability failureとして扱います。

HTTP、HTTP/2、gRPC、raw TCP等でpolicy fieldsとprotocol detectionが異なり得ます。selector、namespace、port、routeが意図したworkload/trafficへ適用されていることをreadbackします。AUDIT/dry-runをenforcementとみなしません。

設定ファイルの存在だけで完了としません。実行中のservice identity・mTLS状態を確認し、許可identityの成功、未許可identityの拒否、unmeshed/plaintext/direct pathの拒否、excluded port、certificate expiry/rotation、policy change、multi-cluster/failoverを必要範囲でnegative-testします。

PERMISSIVE plaintext acceptance、unmeshed pod、missing proxy/ztunnel capture、excluded port、CNI/iptables/proxy bypass、wrong selector、default allow/all-unauthenticated、health probe exception、protocol misclassification、stale policy、overbroad identity/trust domain、CA/issuer/trust-anchor expiry、rotation outage、multi-cluster trust mismatch、outside-mesh gateway path、long-lived connection、observability gapを想定します。

2026-10-06時点のIstio、Linkerd、SPIFFE/SPIRE、NIST SP 800-204A/204B公開資料に基づく監査前candidateです。organization mesh/AI runtimeへのlive mutation/testは未実施です。

AIサービス間通信をservice mesh mTLS化する場合、meshに実際に捕捉された通信についてworkload identity付きの相互認証と暗号化を集中できます。ただしmTLS成立をleast-privilege authorizationや全経路保護とみなさず、STRICT/default-deny設定、workload enrollment、除外port/direct path、trust/certificate lifecycleを別々に確認します。設定ファイルの存在だけで完了とせず、実行中のservice identity・mTLS状態と未許可/plaintext経路の拒否をreadbackします。

organization mesh/product/version/mode、AI service inventory、actual workload identities、namespace/enrollment、CNI/iptables、excluded ports、direct paths、ingress/egress/gateway、trust domain/CA/issuer、certificate rotation、federation/multi-cluster、protocol mix、authorization policy、health probe handling、NetworkPolicy interaction、SLO/cost/latency、tenant-specific realized stateは未確認です。