信息安全之零信任.docxVIP

零信任 身份管理只是起点 关于“零信任，有种流行的观点是零信任安全的本质是基于身份的访问控制，乃至有基于 身份的边界（identity-based perimeter）”的说法。个人以为，身份管理只是“零信任的一 重要部分，是进行统一管理的基础和起点，但将“身份作为零信任”的核心，就有点本末倒置 To 具体讨论之前，先要辨明一下词义。其实，英文的identity与中文语境里的“身份”并不对等， 更准确的翻译应该是标识：用以标记和区分不同实体（用户、设备、服务等等）。对应 的，中文的“身份”其实更接近于privilege （业内通常翻译成〃特权）:代表特定的权利，能够 相应地行获得收益、或得到赦免。本文的讨论将按通行的翻译，“身份”对应是identity , 身份管理对应 identity management 特权对应 privilege. “零信任”相关理念和实现框架的核心恰恰在于超越身份。以Google BeyondCorp的架构和 实现为例，在业务逻辑层面实现“零信任”的核心是授权机制和访问入口的变化。类似的，在 NIST最新（ 2020年2月）发布的《SP 800-207零信任架构（第二版草案）》中明确，零信 任”架构的核心组件是PE （ Policy Engine ,策略引擎）、PA （ Policy Administrator,策略管理 者）和PEP（ Policy E