Appearance
零信任架构：围绕资源访问设计验证与授权
修订于 2026-10-12。本文仅讨论公开的架构原则，不引用未经核实的事故、调查数字或本站实施经历。
零信任是一组访问控制原则：不能只因为请求来自“内网”就默认允许它访问资源。NIST SP 800-207 将重点放在保护资源、动态授权以及持续收集决策所需的状态。部署某个网关或购买单一产品，不能自动形成完整的零信任架构。
从网络边界转向资源边界
先列出需要保护的资源：业务 API、管理界面、数据库、密钥和敏感数据。对每个资源说明谁可以访问、从什么设备和场景访问、允许执行哪些操作。网络位置可以作为信号之一，但不应成为唯一依据。
在 NIST 的参考模型中，策略决策点负责判断访问请求，策略执行点负责放行、阻断或终止连接。身份、设备状态、资产信息和威胁情报可为决策提供输入。实际部署方式会因现有身份系统和网络架构而不同。
一次访问请求需要什么
| 环节 | 需要回答的问题 |
|---|---|
| 身份验证 | 请求者是哪个用户或服务？凭证是否有效？ |
| 授权 | 该身份当前是否有访问此资源、执行此操作的权限？ |
| 设备与环境 | 设备是否满足组织政策？请求是否出现异常信号？ |
| 执行 | 由哪个组件强制执行决策，并记录审计事件？ |
| 复核 | 权限、会话或设备状态变化后，如何重新评估？ |
“持续验证”不等于每个 HTTP 请求都要求用户重新输入密码。会话时长、再认证和风险评估应与资源敏感度及威胁模型匹配。
渐进迁移
- 盘点身份、资源和现有访问路径，找出共享账号、过宽权限和绕过入口。
- 选择边界清晰的一类资源试点，例如管理后台；建立可观察的访问策略。
- 对服务间调用引入服务身份和最小权限，避免把 IP 白名单当作全部控制。
- 验证身份提供方不可用、设备状态过期、策略误配置时系统如何处理。
- 用审计日志和业务影响复盘策略，再逐步扩大覆盖范围。
零信任不能取代补丁管理、备份、密钥保护和安全监测。它改变的是访问是否被授予的依据，并不承诺消除全部攻击。