零信任解决方案的SDP 微隔离 IAM介绍

最新推荐文章于 2025-04-25 20:31:09 发布

原创

最新推荐文章于 2025-04-25 20:31:09 发布 · 1.6k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#网络 #java #运维

本文探讨了零信任网络架构的关键元素，包括软件定义边界(SDP)用于创建逻辑访问边界，网络分段通过微隔离减少攻击面，服务网格确保容器环境的安全管理和分段，以及边缘计算在分布式环境中的安全挑战。策略即代码和身份感知代理作为实现零信任的重要技术，确保了策略执行的一致性和访问控制的精细化。

该模型围绕一个应用程序或一组应用程序创建基于身份和上下文的逻辑访问边界。这种情况下，应用程序隐藏起来无法发现，并且通过受信任的代理限制对一组命名实体的访问。这会将应用程序资产从公共可见性中移除并减少攻击面。
云安全联盟 (CSA) 在其 2020 年报告《软件定义边界》 (SDP) 和《零信任》中也支持这一演变，将 SDP 视为“网络层零信任”。

网络分段

尽管软件定义边界（SDP）提供了一种实现零信任架构的方法，但必须同时进行如下工作：采取分段（在零信任文献中常称为微隔离）的方法，用默认拒绝模型减小攻击面并防止横向移动特征造成的数据泄露问题。网络分段功能允许访问之前强制执行身份验证和授权，而SDP正是该功能的一种进阶——在网络分段的基础上对共享网络链接使用密钥加密。另一种基于主机的分段方法则不需要使用密钥：通过控制主机防火墙建立认证信道，以在大规模异构计算系统平台（私有部署、公共和私有云、容器）上实施动态策略和分段控制，同时允许策略随工作负载变化。
为了保证安全性，使用网络分段时需要创建多个安全分区，这些安全分区根据服务类型及其通信关系、用户身份、每个分区的数据敏感程度定义^22 。传统的