3、设备身份生命周期管理：设备注册、设备激活、设备续期、设备吊销

设备身份不是一次性的。你给它发个证书，它就永远有效？那跟把大门钥匙挂在门口有什么区别。

零信任里有个核心原则：信任是动态的，身份是有周期的。一台设备从进入你的网络，到最终被淘汰，它的身份要经历注册、激活、续期、吊销四个阶段。每个阶段都有坑，我一个个说。

3.1 设备注册：身份的第一道门

注册是什么？说白了，就是给设备一个「准生证」。设备还没正式上岗，但先在系统里留个底。

我个人习惯把注册分成两类：

注册类型	适用场景	信任等级
预注册	企业自购设备、IT 提前录入	高（管理员背书）
自助注册	BYOD、访客设备、IoT 传感器	低（需后续验证）

预注册好理解。IT 买了一批新笔记本，序列号、MAC 地址、TPM 哈希值提前录入身份库。设备开机联网，自动匹配，直接进入激活流程。

自助注册就麻烦多了。我记得有一次帮客户做 IoT 项目，现场有上千个传感器。每个传感器都要手动录入？那得累死。最后我们设计了一个「扫码注册」流程：设备上贴二维码，里面包含设备序列号和一次性注册码。管理员拿手机一扫，设备信息自动入库。

3.2 设备激活：从「注册」到「可信」

注册只是登记，激活才是真正让设备拿到「身份证」。激活阶段，设备要向身份服务证明：我就是我，不是冒牌货。

激活流程通常长这样：

1. 设备发起激活请求：携带注册时分配的临时令牌或一次性密码。
2. 身份服务验证设备身份：比对硬件指纹、检查 TPM 签名、验证设备是否在注册列表中。
3. 颁发设备证书：生成 X.509 证书，绑定设备唯一标识，设置有效期。
4. 建立信任锚点：设备本地存储私钥，身份服务记录公钥和证书序列号。

这里有个容易踩的坑——激活凭证的泄露。我曾经遇到一个客户，他们用邮件发送激活码。结果有人截获了邮件，用别人的激活码注册了自己的设备。嗯，从那以后我坚决要求：激活凭证必须通过带外通道传输，或者使用硬件绑定的方式。

3.3 设备续期：别让证书过期害了你

证书有有效期，这是安全的基本常识。但现实中，我见过太多因为证书过期导致业务中断的案例。

续期不是简单的「延长有效期」。它是一次信任的重新评估。设备在过去一个周期内的行为是否合规？有没有被检测到异常？这些都要在续期时重新检查。

续期策略我一般分三种：

• 自动续期：设备状态良好，安全评分达标，系统自动签发新证书。适合受管设备。
• 半自动续期：设备触发续期请求，系统检查合规性后自动批准。适合 BYOD 设备。
• 手动续期：管理员审核后手动签发。适合高安全环境或异常设备。

你想想看，如果一台设备已经被感染了，你还给它自动续期，那不等于给黑客送通行证吗？所以续期时一定要做健康检查：

# 续期前的设备健康检查清单（伪代码）
def check_device_health(device_id):
    checks = {
        "antivirus_status": get_antivirus_status(device_id),
        "patch_level": get_patch_level(device_id),
        "disk_encryption": check_bitlocker(device_id),
        "last_scan_time": get_last_scan(device_id),
        "anomaly_score": get_risk_score(device_id)
    }
    if all(checks.values()):
        return True  # 允许续期
    else:
        return False # 触发告警，转手动处理

3.4 设备吊销：该断就断，别犹豫

吊销是生命周期里最容易被忽视的环节。很多企业只想着怎么发证书，没想过怎么收回来。

什么情况下需要吊销？

• 设备丢失或被盗
• 设备退役或报废
• 检测到设备被入侵
• 员工离职，设备未归还
• 设备证书私钥泄露

吊销的核心机制是证书吊销列表（CRL）和在线证书状态协议（OCSP）。CRL 是黑名单，OCSP 是实时查询。我个人更推荐 OCSP，因为它能实时响应。CRL 有更新延迟，万一攻击者利用这个时间差呢？

吊销后的设备，身份服务要立即切断它的所有访问权限。不只是网络层面，还包括 API 访问、数据解密、VPN 连接。我习惯在吊销时触发一个「设备隔离工作流」：

1. 吊销设备证书，加入 CRL
2. 通知所有策略执行点（PEP）更新黑名单
3. 强制断开设备当前所有会话
4. 触发告警，通知安全运营团队
5. 记录吊销日志，用于事后审计

3.5 生命周期全景图

说了这么多，我画张图帮你理清思路。这张图展示了设备身份从生到死的完整流转：

你看，这四个阶段形成了一个闭环。注册是入口，激活是信任建立，续期是信任维持，吊销是信任终止。任何一个环节出问题，整个零信任体系都会出现漏洞。