Nulinio pasitikėjimo saugumo architektūra debesų aplinkose

Tradicinis perimetru grįstas saugumo modelis yra iš esmės nesuderinamas su debesų architektūromis. Kai darbo krūviai veikia keliuose debesų tiekėjuose, Kubernetes klasteriai automatiškai keičia mastelį, o kūrėjai diegia dešimtis mikropaslaugų, „patikimo vidinio tinklo" sąvoka netenka prasmės. Nulinio pasitikėjimo architektūra veikia paprastu, bet radikaliu principu: niekada nepasitikėk, visada tikrink.

Tapatybe grįsta prieiga ir paslaugos tapatybė

Nulinio pasitikėjimo modelyje tinklo vieta nėra pasitikėjimo įgaliotinis — tapatybė yra. Kiekviena paslauga, vartotojas ir darbo krūvis turi turėti patikrinamą tapatybę. SPIFFE tai sprendžia teikdama standartizuotą tapatybės sistemą, kur kiekvienas darbo krūvis gauna SVID. SPIRE veikia kaip tapatybės tiekėjas, patvirtindama darbo krūvio tapatybę per platformai specifines priemones ir išduodama trumpaamžius sertifikatus.

Paslaugų tinklo mTLS ir mikrosegmentacija

Paslaugų tinklas kaip Istio ar Linkerd teikia transporto sluoksnį nulinio pasitikėjimo modeliui, automatiškai šifruodamas visą tarppaslauginę komunikaciją su abipusiu TLS (mTLS). Tinklo sidecar proxy skaidriai valdo sertifikatus, rotaciją ir TLS nutraukimą. Be šifravimo, paslaugų tinklai leidžia mikrosegmentaciją per autorizacijos politikas.

Politikos varikliai: OPA ir nuolatinis tikrinimas

Open Policy Agent (OPA) tapo de facto standartu politikai kaip kodui debesų aplinkose. OPA atskiria politikos sprendimus nuo programos logikos — politikos rašomos Rego kalba ir vertinamos lengvo politikos variklio. OPA integruojasi su Kubernetes priėmimo kontrole, API vartais ir paslaugų tinklais, teikdama vieningą politikos kalbą visam rinkiniui. Nulinio pasitikėjimo modeliui OPA leidžia nuolatinį tikrinimą: kiekviena užklausa vertinama pagal dabartines politikas.