【Agent 身份与安全】AI Agent 的身份、委托与审计
IAM 系列（人）与零信任系列（边界）的自然延伸：当 LLM Agent 代表用户调用 API、执行 SQL、读写邮件时，传统 OAuth 模型如何扩展？拆解 Token Exchange、MCP 安全模型、工具级授权、持续验证与审计归因。
zero-trust 标签归档
共 23 篇文章 · 返回首页
【身份与访问控制工程】IAM 全景：为什么这是高价值赛道
从 2020 年 SolarWinds 到 2024 年 Okta 支持系统泄露，身份基础设施的安全失败反复证明一件事：IAM 不是 IT 支撑系统，而是安全架构的承重墙。本文建立现代 IAM 的全景地图——从认证协议、令牌体系、权限模型到身份治理与平台选型，给出 5 个贯穿全系列的核心问题。
【身份与访问控制工程】服务身份：mTLS、SPIFFE/SPIRE 与 Workload Identity
前 9 篇讨论的都是'人'的身份——用户怎么登录、怎么验证。但微服务世界中，80% 的 API 调用是服务之间的。服务身份（Workload Identity）是整个 IAM 体系的另一半：mTLS 解决'传输层你是谁'，SPIFFE/SPIRE 解决'在平台层你是谁且怎么证明'，JWT Profile for OAuth 解决'我怎么拿到一个服务身份的 Token'。本文从这三条线拆解服务身份的工程实现。
【零信任安全架构】NIST SP 800-207 架构深度拆解：不只是 7 条原则
NIST SP 800-207 给了零信任最权威的定义，但大多数讨论只复述了 7 条原则。本文拆解 NIST 文档的完整架构模型：PEP、PDP、Policy Engine、Policy Administrator 的分工与交互协议、信任算法的三种模型、以及 NIST 有意留白留给实现者的工程决策。
【零信任安全架构】BeyondCorp 六篇论文全景：Google 怎么把零信任从概念变成全公司现实
Google 的 BeyondCorp 是最早把零信任从概念推到全公司规模的工程实践。从 2014 年第一篇论文到 2018 年第六篇，这六篇论文记录了每一次架构决策的动机、执行过程和后果。本文不是要点复述，而是把六篇论文当工程复盘来读。
【零信任安全架构】身份感知代理：Google IAP、Pomerium 与零信任的入口
身份感知代理（IAP）是零信任架构中用户进入企业资源的唯一入口——它取代了 VPN 的'拨入内网'模型，把每个 HTTP 请求的认证和授权检查放在资源前面。本文拆解 IAP 协议层的完整请求流、JWT 验证的严格性要求、Header Injection 的安全陷阱，以及 Pomerium/oauth2-proxy/Cloudflare Access 的实现差异。
【零信任安全架构】设备姿态与远程证明：TPM、osquery 和信任分数
零信任的'持续验证'从设备姿态开始——TPM 2.0 的远程证明提供硬件级可信测量，osquery 采集操作系统级安全信号，信任引擎把这些信号综合成一个可以写入策略引擎的分数。本文拆解 TPM 2.0 PCR 语义、AIK 证明协议、设备信任分数的计算与衰减模型，以及设备姿态系统的运维陷阱。
【零信任安全架构】持续验证 vs 一次性认证：信号流、会话风险和策略降级
零信任把认证从'登录时一次'变成了'整个会话期间的持续评估'。但'持续'在工程中既不可能是'每个请求都完整评估'，也不应该是'会话期间不重新评估'。本文回答持续验证的工程实现：什么频率叫持续、当风险信号变化时如何降级或撤销现有会话、以及 OpenID CAEP 协议的草案现状。
【零信任安全架构】零信任策略引擎：OPA/Rego 与 Cedar 在 ZT 中的落地
在零信任架构中，策略引擎（PDP）是每次访问决策的裁判——不仅要回答'这个人能不能访问这个资源'，还要回答'在当前设备姿态、地理位置、时间上下文下，这个人能不能访问这个资源'。本文聚焦策略引擎在零信任场景中的额外要求：多维输入的协同、策略的实时更新、冲突检测和策略即代码的 CI/CD。
【零信任安全架构】微分段深度拆解：从 VLAN 到 eBPF 的访问控制演化
微分段是零信任在网络层的核心机制——从传统 VLAN 的广播域隔离，到 Kubernetes NetworkPolicy 的 IP 级别过滤，再到 Cilium 基于身份的 eBPF 执行和 Istio 的 L7 策略。本文拆解四层微分段技术的实现原理、性能差异和适用场景，以及从'全通'到'全白名单'的策略制定流程。
【零信任安全架构】mTLS 大规模部署的工程现实：联邦、故障排查与根 CA 轮换
mTLS 是零信任服务间通信的基石，但从'单集群内启用 mTLS'到'全公司多集群、混合云的 mTLS'，中间隔着 SPIRE 联邦、跨信任域证书验证、mTLS 握手并发瓶颈、连接池协议兼容性和故障排查等工程问题。本文不重复 SPIFFE/SPIRE 基础，而是聚焦大规模部署中才暴露的问题。
【零信任安全架构】软件定义边界与 ZTNA：VPN 替代方案的协议与产品对比
Zero Trust Network Access（ZTNA）是零信任架构中直接替代 VPN 的组件——它把'拨入内网'变成'按应用授权'。本文拆解 SDP 协议的三个阶段、SPA 单包授权的'端口隐藏'机制、Agent-based vs Agentless ZTNA 的实现差异，以及自建 ZTNA 技术栈的可行性。
【零信任安全架构】零信任数据安全：加密、分类与数据访问治理
零信任通常被讨论在网络和身份层面，但数据层才是攻击者的最终目标。当网络控制和身份验证都失败时，数据本身的加密和访问治理是最后一道防线。本文讨论应用层加密 vs 存储层加密、数据分类标签在授权决策中的应用，以及密钥管理的零信任化。
【零信任安全架构】SaaS 与云原生的零信任：CASB、CSPM 和 Kubernetes 超网络策略
企业的工作负载已经从数据中心移到了 SaaS 和公有云——Google Workspace、Office 365、Salesforce、GitHub 是新的'内网'。零信任在 SaaS 和云原生环境中的实现方式与传统数据中心完全不同。本文拆解 CASB 的零信任化、SSPM/CSPM 的配置审计和多云 IAM 的最小权限实践。
【零信任安全架构】零信任迁移的工程策略：棕地改造、遗留系统适配与渐进式切流
零信任最重要的工程问题不是'采购什么产品'，而是'怎么迁移'。已有 500 个遗留系统、数十个无法停机的关键业务、几千台未被管理的设备——本文拆解四种遗留系统升级策略、渐进式切流的流量控制与回滚条件，以及迁移中的人力成本和组织阻力。
【零信任安全架构】零信任可观测性与 SIEM 集成：日志、检测与自动化响应
零信任架构生成的安全日志比传统架构多一个数量级——每个访问代理的决策、每次 mTLS 握手、每条微分段策略的 allow/deny 事件。如果没有配套的日志聚合、异常检测和自动化响应，零信任就是一个'黑盒式拒绝'系统。本文拆解零信任的三层日志和特有的检测规则。
零信任安全架构深度系列
零信任是 IAM 的自然延伸——当身份变成新边界，VPN 的'拨入即信任'模型必须被'永不信任、始终验证'取代。本系列从 NIST SP 800-207 规范、Google BeyondCorp 六篇论文、SPIFFE/SPIRE 联邦到微分段、持续验证、ZTNA 和零信任迁移的工程策略，系统拆解零信任的每一种组件和每一步实施。
【系统架构设计】零信任架构：不信任网络边界的安全模型
VPN 解决的是'谁能进入内网'，但进入之后的横向移动几乎不受约束——这正是近年来大规模数据泄露事件的核心攻击路径。零信任架构（Zero Trust Architecture）将安全判定点从网络边界下沉到每一次请求，通过 mTLS、SPIFFE/SPIRE、持续身份验证和微分段实现'永不信任，始终验证'。本文从 BeyondCorp 模型出发，拆解零信任的核心组件、工程实现和选型取舍。
【网络工程】网络隔离与微分段：VLAN、SDN 策略与零信任
网络隔离是安全架构的基石。本文从传统 VLAN 的 4096 限制、VXLAN 的 Overlay 隔离机制、SDN 下的 Calico/Cilium Network Policy 工程实践、微分段的设计方法论，到零信任网络架构的分段策略，系统讲解从物理隔离到软件定义隔离的演进和工程落地。
【网络工程】mTLS 工程实践：服务间双向认证
mTLS（双向 TLS）在微服务架构中实现服务间的身份认证和通信加密。本文从工程角度剖析 mTLS 的握手流程差异、证书分发的三种模式、SPIFFE/SPIRE 的标准化身份框架，以及 Istio 和 Linkerd 中 mTLS 的实现原理。覆盖性能开销测量、调试方法和大规模部署的证书轮换策略。
【Kubernetes 网络深度系列】Network Policy 入门到精通：不只是 YAML 游戏
从默认放行到零信任白名单，NetworkPolicy 的实现原理、策略模式与 CRD 扩展
【Kubernetes 网络深度系列】Cilium 身份识别与零信任网络
从 IP-based 到 Identity-based 安全，Cilium 零信任网络架构的实现与落地
【Kubernetes 网络深度系列】Kubernetes 网络的未来：趋势、挑战与架构师指南
四大趋势、AI 工作负载挑战、架构师决策矩阵，以及 K8s 网络的知识图谱