3. 零信任三大核心组件：身份、设备、网络
你想想看，一个零信任架构要落地，最核心的问题是什么？
说白了，就是三个字：你是谁？你用啥？你在哪？
我习惯把这三大组件看作零信任的「三驾马车」。身份、设备、网络，一个都不能少。今天，我们就来拆解它们是如何协同工作的。
3.1 身份：零信任的「第一把锁」
在零信任里，身份不再是简单的用户名密码。它是一切访问的起点。
为什么身份这么重要？因为边界已经不存在了。你没法再靠 IP 地址判断“自己人”。唯一的依据，就是身份。
3.1.1 身份是什么？
- 用户身份：员工、合作伙伴、外部用户。核心是唯一标识符和属性（部门、角色、职级）。
- 服务/应用身份：微服务之间互相调用时，也需要身份。这就是 Service Account 或 JWT 。
- API 身份：第三方系统调用你的 API，得有个 或 OAuth Client Credentials。
关键认知：零信任里，人人都有身份，事事都有身份。连一台打印机，都得有它的设备身份。
3.1.2 身份的可信度怎么保证？
光有身份不够，还得证明这个身份是活的、是本人。
我见过很多公司，上了零信任，但密码还是“111111”。你想想看，这有什么意义？
- 多因素认证（MFA）：密码 + 短信码 + 生物特征（指纹、面部）。至少两个因子。
- 动态风险评估：登录地点异常？设备从未见过？行为模式突变？立刻触发额外验证或拒绝。
- 生命周期管理：员工离职，半小时内必须撤销所有权限。我曾经遇到过一个项目，因为没及时清理僵尸账号，导致数据泄露——教训深刻。
我的经验：别把所有身份验证逻辑都写在后端。用身份网关（如 OAuth2 Proxy、Keycloak）做统一入口，既安全，又方便审计。
3.2 设备：你的「盾牌」有多坚固？
身份对了，就能直接访问？先别急。
你拿着的设备，可能是一台被植入木马的笔记本。或者一部没有锁屏密码的手机。这样的设备，即使身份认证通过了，能信吗？
我个人习惯：设备可信度，是零信任的第二道防线。
3.2.1 设备信任的维度
| 维度 | 检查项 |
|---|---|
| 硬件身份 | 设备序列号、MAC 地址、TPM 芯片（硬件信任根）。 |
| 软件状态 | 操作系统版本、补丁状态、是否越狱/root、杀毒软件运行状态。 |
| 合规性 | 磁盘是否加密（BitLocker/FileVault）、屏幕锁是否开启、是否安装公司安全软件。 |
| 行为基线 | 设备通常在什么时间、什么地点、连接什么网络？异常行为（如半夜扫描内网）直接拉黑。 |
3.2.2 如何判断设备是否“健康”？
这个判断过程，叫设备健康评估。通常在客户端安装一个 Agent，或者使用 MDM（移动设备管理）策略。
评估结果会生成一个设备信任分数。分数低，就降级处理（比如只能访问公开信息，不能访问核心系统）。
避坑指南：设备评估的粒度要把握好。我曾经见过一个项目，要求设备必须补丁全齐才能访问。结果业务部门炸了——因为他们有些测试环境需要特定旧版本系统。最后我们改成按资源分级：核心系统要求最高，测试环境则可以放宽。
3.3 网络：边界已死，微隔离当立
身份和设备都验证了，是不是就可以在内网里随便跑了？
不是。零信任的核心理念是：内网不等于信任。攻击者一旦攻破一台设备，就能在内网横向移动——这太危险了。
所以，我们需要把网络切碎。这就是微隔离（Micro-Segmentation）。
3.3.1 微隔离做什么？
- 隔离到应用/服务级别：不再靠防火墙隔离整个网段。而是每个应用、每个容器、甚至每个进程都有自己的网络策略。
- 默认拒绝所有流量：只有明确授权的流量才能通过。不是“白名单里哪些能过”，而是“黑名单里哪些不能过”——方向反了。
- 动态策略：策略不能写死。服务器扩容、容器重启、用户切换，策略要自动适配。
3.3.2 怎么实现微隔离？
常见的技术手段有几种：
- Overlay 网络：比如用 VXLAN 或 WireGuard，把应用间的流量封装，与底层物理网络解耦。
- Sidecar 代理：在 Kubernetes 里，通过 Istio/Linkerd 的 sidecar 代理，对 Pod 间流量做精细化控制。
- 主机防火墙：每台服务器上启用 iptables/nftables 或云平台的分布式防火墙。
我个人偏好：在大型生产环境里，Overlay + Sidecar 的组合最常用。因为它不需要改网络基础设施，对业务代码也无侵入。
3.4 三者如何协同？
身份、设备、网络不是孤立的。它们是一条完整的链路。
举个例子：用户小张想访问财务系统。
- 身份验证：小张凭密码+手机验证码登录。身份认证通过。
- 设备检查：发现小张的笔记本是公司配发的，系统补丁齐全，磁盘加密开启。设备信任度：高。
- 网络授权：根据“小张”的身份和“高信任度设备”，策略引擎允许他的请求——但只能访问财务系统的“查询”API，不能修改。而且流量路径被微隔离限制在最小范围内，不能直接访问数据库。
你看，每一步缺一不可。身份不过，直接拒绝。设备不合格，降级处理。网络策略不匹配，访问失败。
实现的节奏：我建议分三步走。先搞身份（统一认证+SSO），再管设备（设备注册+健康评估），最后切网络（逐步推进微隔离）。一次性全部上，团队容易崩溃。
3.5 三大组件关系图
下面这张图展示了它们之间的逻辑关系。画出来会更清楚。
3.6 小结：三个组件，一个整体
好了，我们来回顾一下本节的要点。
- 身份：零信任的起点。没有可信身份，一切免谈。
- 设备：身份的载体。设备不可信，身份再安全也没用。
- 网络：最后的防线。通过微隔离，把攻击面压缩到最小。
我再提醒一句：别等到上线了才发现，身份、设备、网络三方数据没打通。那会导致策略永远无法精准执行。记得在设计阶段就让它们互相通信。
这三个组件，就像一把锁的三根锁芯。少一根，门就关不严。多一根，才能构成真正的信任闭环。