第4章 信任模型：零信任、最小权限、基于身份的信任链在模块间的落地方式

在模块化架构中，信任模型决定了模块之间如何建立、验证和传递信任关系。本章从零信任、最小权限和基于身份信任链三个维度，阐述信任模型在模块边界的落地方式，涵盖从边界定义到授权分层的完整设计路径。

4.1 模块边界定义

模块边界即信任域的边界。每个模块（微服务、容器进程或函数）有独立的身份标识（如服务账号、JWT Subject）和网络隔离区。边界由以下要素明确：

• 网络策略：仅允许必要的端口和协议通信，默认拒绝所有出入流量。
• 身份登记：每个模块在启动时向控制平面注册其公钥或令牌签发密钥。
• 路由隔离：API网关或服务网格作为统一入口，模块间直连必须经过认证代理。

4.2 信任链路设计

信任链路是从请求发起端到目标模块之间所有中间节点的信任关系链。设计要点包括：

1. 请求端（用户或上游模块）向身份提供者（IdP）获取初始令牌。
2. 网关或入口代理验证令牌有效性，并将令牌中身份信息和权限声明注入请求上下文。
3. 下游模块在收到请求后，必须验证上游模块的签名和令牌时效，同时检查当前操作是否在授权范围内。
4. 信任链的每一跳都执行一次“零信任验证”——即使请求来自内网，也必须携带有效令牌。

4.3 传递机制

是信任链的载体。在零信任模型中，必须包含以下字段：

在模块间传递时必须使用TLS加密通道，且接收方必须验证令牌的签名和完整性。为防止重放攻击，应绑定请求的nonce或时间戳。

4.4 授权策略分层

授权策略按层次从全局到局部部署，确保最小权限与动态自适应：

• 全局基线（零信任层）：强制所有跨模块调用必须经过身份验证，禁止匿名访问。
• 模块策略（最小权限层）：每个模块定义其允许的调用方列表和操作集合，默认拒绝。
• 运行时策略（动态层）：基于风险评分（如异常行为、地理位置）动态调整权限，例如限制敏感操作。

4.5 数据流与控制流分离

控制流（验证、授权决策）与数据流（业务Payload）分离设计有助于降低延迟并增强安全性：

• 控制流：通过侧车代理（Sidecar）或API网关截获请求，执行验证和策略评估，再转发数据。
• 数据流：仅携带已验证的会话标识（如session_id），避免重复传输完整。
• 分离后的好处：授权策略变更无需修改业务代码；泄露不影响业务数据泄露。

4.6 方案权衡

4.7 风险识别

1. 泄露：攻击者窃取有效后可伪装为任意调用方。缓解措施：绑定客户端IP或设备指纹，使用短生命周期。
2. 信任链断裂：某个中间模块被攻陷后，其签名密钥被滥用。缓解措施：定期轮换密钥，使用硬件安全模块（HSM）保护私钥。
3. 边界模糊：模块间存在未授权的直连（如跳过网关）。缓解措施：网络策略强制代理拦截，审计日志监控异常流量。

4.8 落地步骤与验收标准

落地步骤：

1. 定义每个模块的身份标识和信任域边界。
2. 部署身份提供者（IdP）或使用服务网格内置身份（如Istio的SPIFFE）。
3. 在网关或代理层实现零信任验证逻辑。
4. 为每个模块配置最小权限策略（白名单调用方和操作）。
5. 实现传递的加密通道和签名验证。
6. 集成运行时风险检测引擎，动态调整授权。

验收标准：

• 任意模块之间未携带有效的请求被拒绝，并记录安全事件。
• 过期或权限不足时返回明确的错误码（如401/403）。
• 授权策略变更后，无需重启业务模块即生效（热加载）。
• 信任链的每一跳签名验证延迟不超过5ms（99%分位）。