零信任架构基础：从标准到实战
好，咱们进入第二章。这一章是地基，得打牢了。
零信任这个概念，这几年被炒得很热。但说实话，真正理解它的人不多。我见过不少团队，买个SDP产品就号称“零信任改造完成”了。嗯，这其实是个误区。
零信任不是某个产品，而是一套架构思想。它的核心就一句话：永不信任，始终验证。不管请求来自内网还是外网，都得过一遍身份认证和权限检查。
NIST SP 800-207：零信任的“宪法”
聊零信任，绕不开NIST SP 800-207。这份文档，我建议每个做安全架构的人都读一遍。它把零信任抽象成了几个核心组件，说白了就是一套逻辑框架。
我个人习惯把NIST模型拆成三块来看：
- 主体：用户、设备、应用、服务。谁在发起请求？
- 资源：数据、API、服务器、数据库。要访问什么？
- 策略引擎：根据上下文做决策。允许还是拒绝？
这里有个关键点：NIST强调资源不能直接暴露在网络中。所有访问都必须经过一个“策略执行点”。这个思想，直接影响了后面要讲的SDP和微隔离。
避坑指南：我曾经在一个项目中，客户坚持要在核心数据库上直接开公网IP，说“反正有防火墙”。我告诉他，零信任的第一条就是“隐藏资源”。防火墙只能防端口扫描，防不了身份伪造。后来我们用了SDP网关，把数据库完全藏了起来，效果立竿见影。
微隔离与SDP：两种落地姿势
微隔离和SDP，是零信任最主流的两种落地方式。很多人分不清它们的区别，我简单说一下。
微隔离：东西向的“毛细血管”
微隔离解决的是东西向流量的问题。传统防火墙只守南北向（进出数据中心），但攻击者一旦打进内网，就能在服务器之间横向移动。微隔离就是在每个工作负载之间加一道“微型防火墙”。
你想想看，一个Kubernetes集群里，Pod和Pod之间的通信，如果不做隔离，一个容器被攻破，整个集群就沦陷了。微隔离就是干这个的——按身份、标签、应用来定义通信规则。
SDP：南北向的“隐形门”
SDP（软件定义边界）解决的是南北向流量的问题。它的核心思想是“先认证，后连接”。用户连上SDP网关之前，根本看不到后面的资源。网关把资源完全隐藏了，连端口扫描都扫不到。
我参与过一个远程办公项目，员工从家里访问公司内网。传统做法是VPN，但VPN有个问题：一旦连上，内网所有资源都暴露了。换成SDP之后，每个员工只能看到自己有权访问的那几个应用。其他服务器、数据库，对他来说就是“不存在”的。
| 维度 | 微隔离 | SDP |
|---|---|---|
| 流量方向 | 东西向（服务器之间） | 南北向（用户到资源） |
| 部署位置 | 工作负载侧（Agent/网络策略） | 边界侧（网关/控制器） |
| 核心能力 | 按身份控制通信 | 隐藏资源，先认证后连接 |
| 典型场景 | 数据中心、容器集群 | 远程办公、多云接入 |
身份与访问管理（IAM）：零信任的“身份证”
零信任里，身份是第一要素。没有可靠的IAM，零信任就是空中楼阁。
为什么？因为零信任不再信任网络位置。IP地址、网段这些传统信任因子，在零信任里基本失效。唯一能信任的，就是经过验证的身份。
IAM在零信任中承担三个角色：
- 身份认证：确认“你是谁”。多因素认证（MFA）是标配。
- 授权管理：确认“你能做什么”。基于属性的访问控制（ABAC）比RBAC更灵活。
- 身份治理：管理身份生命周期。入职、转岗、离职，权限要跟着人走。
我记得有一次做审计，发现一个离职半年的员工，账号还在活动。就是因为IAM系统和HR系统没打通，权限回收不及时。这在零信任架构里是致命的——一个僵尸账号就能让整个信任模型崩塌。
实战建议：IAM系统一定要和身份源（如LDAP、Azure AD）实时同步。别用定时任务，用事件驱动。员工一离职，权限立刻回收，别留窗口期。
PDP与PEP：策略的“大脑”和“手脚”
NIST SP 800-207里定义了两种关键组件：策略决策点（PDP）和策略执行点（PEP）。
简单理解：PDP是大脑，负责决策；PEP是手脚，负责执行。
流程是这样的：
- 用户发起访问请求 → 流量先到PEP
- PEP把请求信息（用户、设备、时间、位置等）发给PDP
- PDP根据策略引擎做决策：允许、拒绝、或要求额外验证
- PDP把决策结果返回给PEP
- PEP执行决策：放行、阻断、或触发MFA
这个架构的好处是决策和执行分离。PDP可以集中管理策略，PEP可以分布式部署。你可以在一个地方定义所有策略，然后在成千上万个PEP上统一执行。
下面这张图，是我在项目里经常画的架构图，帮你理解PDP和PEP的关系：
这个架构有个好处：PDP可以做成高可用集群，PEP可以做成轻量级代理。我在一个金融客户那里，PDP部署了三节点集群，PEP则直接嵌入到Nginx里，性能损耗几乎可以忽略。
注意：PDP和PEP之间的通信必须加密。如果攻击者能伪造PDP的决策，整个零信任就形同虚设。我建议用mTLS来保护这个通道，证书轮换周期不超过30天。
小结：零信任不是银弹
这一章的内容，说白了就是零信任的“四梁八柱”。NIST标准给了框架，微隔离和SDP给了落地手段，IAM给了身份基础，PDP/PEP给了执行机制。
但我要提醒一句：零信任不是银弹。它解决的是“信任过度”的问题，但解决不了“策略错误”的问题。如果你的策略本身就有漏洞，零信任反而会放大这个漏洞——因为所有流量都经过PEP，一旦PEP被绕过，后果更严重。
所以，做零信任改造，一定要从策略梳理开始。别一上来就买设备、装Agent。先把你的业务流、数据流、身份流画清楚，再谈架构改造。这是我踩过坑之后，最想对你说的话。