广东省广州市番禺区南村镇,正定seo,360优化大师,成品网站前台源码事实上#xff0c;无论是零信任安全在数据中心的实践#xff0c;还是通用的零信任安全架构实践#xff0c;全面身份化都是至关重要的#xff0c;是“企业边界正在瓦解#xff0c;基于边界的安全防护体系正在失效”这一大背景下#xff0c;构筑全新的零信任身份安全架构的…事实上无论是零信任安全在数据中心的实践还是通用的零信任安全架构实践全面身份化都是至关重要的是“企业边界正在瓦解基于边界的安全防护体系正在失效”这一大背景下构筑全新的零信任身份安全架构的基石。
本文将对“全面身份化”的必要性和范畴进行分析并基于Evan的演讲内容整理、分享全面身份化在零信任数据中心网络的实践。
零信任安全的本质是以身份为中心进行动态访问控制. 要理解零信任安全架构下“全面身份化”的必要性首先需要理解零信任安全是什么其本质是以身份为中心的动态访问控制。
传统的基于边界的网络安全架构某种程度上假设、或默认了内网是安全的认为安全就是构筑企业的数字护城河通过防火墙、WAF、IPS等边界安全产品/方案对企业网络出口进行重重防护而忽略企业内网的安全。
在“企业边界正在瓦解基于边界的安全防护体系正在失效”这一大背景下零信任安全针对传统边界安全架构思想进行了重新评估和审视并对安全架构思路给出了新的建议其核心思想是默认情况下不应该信任网络内部和外部的任何人/设备/系统需要基于认证和授权重构访问控制的信任基础。零信任对访问控制进行了范式上的颠覆引导安全体系架构从网络中心化走向身份中心化其本质诉求是以身份为中心进行访问控制。
从技术方案层面来看零信任安全是借助现代身份管理平台实现对人/设备/系统的全面、动态、智能的访问控制其核心实践包括
以身份为中心
通过身份治理平台实现设备、用户、应用等实体的全面身份化采用设备认证和用户认证两大关键技术手段从0开始构筑基于身份的信任体系建立企业全新的身份边界。
业务安全访问
所有的业务都隐藏在零信任可信接入网关之后只有认证通过的设备和用户并且具备足够的权限才能访问业务。
动态访问控制
访问控制需要符合最小权限原则进行细粒度授权基于尽量多的属性进行信任和风险度量实现动态自适应访问控制。
不难看出以身份为中心实现设备、用户、应用、系统的全面身份化是零信任安全的根基缺少了这个根基动态访问控制将成为无源之水无本之木。
“全面身份化”是零信任安全动态访问控制的基石
传统语境下身份更多的是“人”的专属术语是物理世界的人在数字世界的对等物甚至多数情况下大家将身份等同于应用系统的账号。这不难理解毕竟在传统的信息系统和网络世界中人、机是主要的参与实体机器大多可以通过机器名、网络地址等进行标识而为了实现记账和访问控制等功能人也需要一个标识那就自然而然的为每一个人在系统中创建一个账号并将这个账号等同于数字身份。
随着如今IT技术的飞速发展这个狭义的身份范畴已经跟不上时代了至少包括如下两个方面
身份的实体范畴不仅仅是人
在万物互联的时代物已经成为了重要的参与实体其基数已经远远超出了人。因此仅仅为人创建身份是远远不够的正如Gartner所建议的需要建立全面的“实体”身份空间这些“实体”包括人、服务、设备等等。通过全面的身份化实现对网络参与的各个实体在统一的框架下进行全生命周期管理。
身份不等同于账号
虽然在一个单一的业务系统内身份和账号存在某种一对一的关系但是身份并不等同于账号。一个身份在不同的业务系统内存在不同的账号身份是唯一的账号不是唯一的。随着云计算、移动计算的发展应用越来越碎片化一个实体的人/数字化的身份对应的账号越来越多理解身份和账号的差异至关重要。
简单下个定义身份是物理世界的人/物/系统等实体在数字世界的唯一标识是物理世界的实体在数字世界的对等物。
事实上在现代身份治理框架下核心逻辑之一就是关注身份、账号、权限三个平面及其映射关系为物理世界的人/物创建数字身份并关联对应的身份生命周期管理流程、梳理关联各业务系统账号和身份的属主关系、控制各个账号的权限分派实现基础授权。如下图所示
另外为了实现闭环的全面身份化治理需要部署智能身份分析系统对当前系统的权限、策略、角色进行智能分析发现潜在的策略违规并触发工作流引擎进行自动、或人工干预的策略调整实现治理闭环。
如上在零信任安全语境下身份是为访问控制服务的。因此需要对参与访问控制的各主体、客体进行全面的身份化包括用户、设备、应用和接口等都需要具备唯一的数字身份。
Evan Gilman最新的研究方向就是工作负载的身份化其目的就是为了基于零信任理念解决工作负载之间的访问控制问题建立零信任数据中心网络是全面身份化在数据中心网络场景的创新实践。
