零信任架构落地实践：从概念到可执行的方案¶

零信任到底在反对什么¶

传统安全模型是"内网信任、外网不信任"——企业内网被认为是可信区域，进去之后可以为所欲为。零信任的核心理念只有一句话：不信任网络位置，只信任身份和设备。

"网络内部"不再是安全边界。每一次访问请求，无论来自内网还是外网，都必须经过验证。

一、零信任的三大原则¶

1. 永不信任，始终验证：每次访问都校验身份、设备、权限、上下文
2. 最小权限：只给完成任务所需的最小访问权限，用完即止
3. 假设受损：假设网络已经被攻破，防御按最坏情况设计（分段、加密、监控）

二、落地路径：从哪儿开始¶

零信任是体系不是单点产品，一次性全量改造风险大。推荐的落地顺序：

第一步：身份是地基（0-3 个月）¶

先统一身份，才能谈权限控制。

• 建立统一身份源（SSO / 统一身份平台）
• 强制多因素认证（MFA）
• 账号生命周期管理（入职/离职自动开通/回收）

第二步：访问控制（3-6 个月）¶

给访问加闸门。

• 所有内部系统接入统一认证网关
• 应用层鉴权：RBAC（基于角色的访问控制）
• 关键系统加 ABAC（基于属性的访问控制，结合时间、地点、设备状态）

第三步：网络分段与加密（6-12 个月）¶

• 应用按敏感度分段，段间默认拒绝
• 服务间通信 mTLS 双向认证
• 南北流量（外部到内网）与东西流量（内网服务间）都收敛到网关

第四步：持续监控与自适应（12 个月+）¶

• 访问日志全量记录，异常行为检测
• 风险评分：设备异常、异地登录、异常时段触发二次验证或阻断

三、落地中的关键技术选型¶

1. 身份认证：OIDC / OAuth 2.0¶

用户 → 访问应用 → 重定向到 IdP（身份提供方）→ 登录+MFA
     → IdP 签发令牌 → 应用校验令牌 → 放行

主流 IdP 开源方案：Keycloak、Authentik、Casdoor。

2. 访问代理：SDP（软件定义边界）¶

访问者先通过 SDP 控制器的验证，验证通过才"看到"可访问的应用——应用对未验证者完全隐身，连端口都探测不到。

3. 服务间安全：服务网格 mTLS¶

Kubernetes 环境用服务网格（Istio/Linkerd）自动为服务间通信做双向 TLS：

# Istio 示例：启用 mTLS
apiVersion: security.istio.io/v1beta1
kind: PeerAuthentication
metadata:
  name: default
  namespace: prod
spec:
  mtls:
    mode: STRICT

4. 终端安全：设备合规¶

设备需满足合规条件（系统版本、杀软、补丁状态）才允许访问，不满足则隔离或只给受限访问。

四、一个最小可落地的示例架构¶

用户
 ↓ 验证身份 + MFA
访问网关（OIDC + 策略引擎）
 ├─→ 办公应用（内网段 A）
 ├─→ 数据库（仅应用可访问，管理走跳板机）
 └─→ 云控制台（独立段，需设备合规+二次验证）

所有访问：日志全量 → 异常检测 → 自适应策略

五、常见误区¶

1. 零信任 = 一台设备：VPN 替代品只是其中一环，没有身份和策略体系支撑，光买设备没用
2. MFA 就够了：MFA 只是身份验证的一部分，设备、权限、持续验证同样重要
3. 一次改造完成：零信任是持续运营的过程，需要不断评估策略、调整规则
4. 只保护外部入口：内网横向移动是攻击者的重要路径，东西流量防护不能少

六、落地节奏建议¶

结语¶

零信任不是非黑即白的选择题，而是一个渐进的安全能力建设过程。从统一身份和 MFA 开始，哪怕只是先覆盖核心系统，也已经在正确的方向上。落地零信任的正确心态是：不追求一步到位，而是让每一次改造都比现状更安全一点。