3. 零信任架构的五大支柱：身份、设备、网络、应用工作负载、数据

聊零信任，很多人一上来就跟我谈微隔离、谈SDP。其实这些只是手段。真正要理解零信任，你得先抓住它的骨架——五大支柱。

这五个东西，说白了就是零信任要保护的五个维度。我在做第一个零信任项目时，客户非要先搞网络隔离，结果身份侧没打通，策略配得再细也没人执行。后来我学乖了，每次开场先讲清楚这五根柱子，对齐认知，再动手。

3.1 身份：新的安全边界

零信任最核心的一句话：身份就是新的安全边界。传统网络时代，防火墙往那一放，内网就是安全的。现在呢？员工用手机、在家办公、连第三方供应商的系统——物理边界早就没了。

我习惯把身份分为两类：人类身份和非人类身份。人类身份好理解，员工、外包、合作伙伴。非人类身份呢？微服务之间的调用、API密钥、机器人账号。你想想看，现在一个K8s集群里跑着上百个Pod，每个Pod都要跟其他服务通信，这些全是身份。

身份支柱的关键能力包括：

• 持续认证——不是登录一次就完事。用户行为异常时，要能触发二次认证或会话终止。
• 最小权限——给用户刚刚好的权限，不多给。我记得有个客户，所有开发人员都有生产库的root权限，我说这不行，他们还不信。结果一次误操作删了用户表，恢复花了6小时。
• 动态授权——权限不是静态的。时间、地点、设备状态、风险评分，这些因素都要纳入授权决策。

3.2 设备：信任的载体

身份认证通过了，但设备不安全怎么办？你想想看，一个员工的账号密码被偷了，攻击者用自己的笔记本登录公司系统，身份认证是能过的。但设备呢？没有设备健康度检查，就等于把门打开了，但没看进来的是谁的车。

设备支柱要解决的核心问题：这个设备值得信任吗？

我在项目中遇到过最典型的场景：某客户允许BYOD，员工用自己的手机查邮件。结果一台手机中了木马，邮件被转发到外部邮箱。事后复盘，设备侧没有任何合规检查——没有MDM、没有设备证书、甚至连基本的操作系统版本都没验证。

设备健康度的检查项，我列一个常用清单：

检查维度	具体指标	常见策略
操作系统	版本号、补丁级别	低于指定版本禁止访问
安全软件	杀毒软件运行状态、病毒库日期	未安装或未更新则隔离
磁盘加密	是否启用全盘加密	未加密设备仅允许访问低敏感数据
越狱/ROOT	设备是否被越狱或ROOT	直接拒绝访问
证书	客户端证书是否有效、未吊销	无证书或证书过期则阻断

3.3 网络：从信任到零信任的转变

传统网络安全的思路是什么？内网是安全的，外网是危险的。所以我们在边界上堆防火墙、IPS、防病毒网关。但零信任不这么看——网络永远是充满敌意的。

网络支柱的核心变化：从基于IP的信任，变成基于身份和设备的精细化控制。说白了，就是不再相信网络本身。

具体怎么做？三个关键动作：

1. 微隔离——把网络切成小块，东西向流量也要做策略控制。不是只有南北向才需要防火墙。
2. 加密所有流量——不管内网外网，所有通信都走TLS/mTLS。我在一个金融客户那里，他们内网流量全是明文，我说这跟裸奔没区别。
3. 隐藏服务入口——用SDP或类似技术，让应用对公网不可见。只有经过认证的用户和设备才能看到并访问。

嗯，这里要注意：微隔离不是一蹴而就的。我建议先做高价值资产的东西向隔离，比如数据库和核心业务服务。别一上来就想把整个数据中心全隔了，策略量会让你崩溃。

3.4 应用工作负载：保护运行时的安全

应用工作负载支柱，关注的是应用和服务在运行时的安全。不管是虚拟机、容器、还是Serverless函数，只要它在跑，就要被保护。

这个支柱在云原生环境里尤其重要。你想想看，一个K8s集群里，Pod之间互相调用，API网关、微服务、消息队列……攻击面比传统架构大得多。

应用工作负载的关键能力：

• 服务间认证——用mTLS或JWT做服务到服务的身份验证。别让任何服务能无证访问其他服务。
• API安全——API网关要能做认证、限流、参数校验。我见过太多因为API没做鉴权导致的数据泄露。
• 运行时保护——检测异常行为，比如某个容器突然开始扫描端口，或者进程执行了不该执行的命令。
• 漏洞管理——镜像扫描、依赖检查、运行时漏洞修复。容器镜像里带高危漏洞，这跟开着门睡觉没区别。

3.5 数据：最终的保护对象

前面四个支柱——身份、设备、网络、应用工作负载——说到底，都是为了保护数据。数据才是最终要守护的东西。

数据支柱的核心思路：数据在哪里，安全策略就跟到哪里。不管数据是在数据库里、在文件服务器上、在SaaS应用里、还是在员工的笔记本上，都要有对应的保护措施。

数据安全的关键动作：

• 分类分级——先搞清楚你有什么数据，哪些是敏感的。没有分类分级，安全策略就是瞎打。
• 加密——静态加密、传输加密、甚至使用中加密（比如同态加密或可信执行环境）。
• DLP——数据防泄漏，防止敏感数据被非法外传。邮件、U盘、网盘、即时通讯，这些渠道都要监控。
• 访问审计——谁在什么时间、从什么设备、访问了什么数据，全都要有日志。出事的时候能追溯。

3.6 五大支柱的协同关系

这五个支柱不是各自为战的。它们通过一个策略引擎串联起来。身份告诉引擎「谁来了」，设备告诉引擎「用什么来的」，网络告诉引擎「从哪来的」，应用工作负载告诉引擎「要访问什么」，数据告诉引擎「能看什么」。

策略引擎综合这些信息，做出一个动态的信任决策。这个决策不是一次性的——每次访问请求都要重新评估。

举个例子：一个员工早上9点用公司笔记本登录CRM系统，身份OK、设备合规、网络正常，策略引擎放行。但到了下午3点，这个员工突然从一台陌生设备、用VPN从国外IP登录，策略引擎就会判定风险升高，要求二次认证，甚至直接拒绝。

这就是五大支柱协同工作的样子。缺了任何一个，决策都不完整。