零信任架构实践：从边界安全到身份驱动安全

# 零信任架构实践 ## 核心原则 传统安全模型信任内网，而零信任的原则是"永不信任，始终验证"（Never Trust, Always Verify）。 三大支柱： 1. **身份验证**：每个请求都需要验证身份 2. **最小权限**：只授予完成任务所需的最小权限 3. **持续验证**：不仅在登录时验证，而是每次请求都验证 ## mTLS：双向 TLS 认证 ```yaml # Istio 中启用 mTLS apiVersion: security.istio.io/v1beta1 kind: PeerAuthentication metadata: name: default namespace: production spec: mtls: mode: STRICT # 所有通信必须 mTLS ``` ```yaml # 授权策略：只允许特定服务访问 apiVersion: security.istio.io/v1beta1 kind: AuthorizationPolicy metadata: name: payment-service-policy spec: selector: matchLabels: app: payment-service rules: - from: - source: principals: ["cluster.local/ns/prod/sa/order-service"] to: - operation: methods: ["POST"] paths: ["/api/payments"] ``` ## SPIFFE：服务身份框架 ``` SPIFFE ID: spiffe://cluster.local/ns/production/sa/order-service ``` 每个工作负载获得一个加密身份（X.509 SVID），用于 mTLS 认证。 ## OPA（Open Policy Agent）：统一策略引擎 ```rego # policy.rego package authz default allow = false # 允许管理员访问所有资源 allow { input.user.role == "admin" } # 允许用户访问自己的数据 allow { input.method == "GET" input.path == concat("/", ["api", "users", input.user.id, "profile"]) } # 工作时间才允许写操作 allow { input.method == "POST" hour := time.clock(time.now_ns())[0] hour >= 9 hour = 70, 'access_level': 'full' if score >= 90 else 'limited' if score >= 70 else 'denied' } ``` ## 实施路线 1. **第一阶段**：统一身份认证（SSO + MFA） 2. **第二阶段**：服务间 mTLS 3. **第三阶段**：细粒度策略（OPA） 4. **第四阶段**：设备信任 + 持续验证