云安全从边界防护转向身份与工作负载治理：企业如何重构零信任架构？

过去，企业安全架构往往围绕“网络边界”展开：数据中心、办公网和互联网之间设置防火墙、网闸或访问控制设备，内部系统默认拥有更高信任级别。进入多云、云原生和智能化工作负载阶段后，应用、数据、账号和计算任务分散在不同云平台、集群与服务之间，访问关系不再由网络位置决定。云安全的核心因此正在从“守住边界”转向“确认谁、访问什么、以什么身份访问、由哪个工作负载发起，以及访问是否持续合理”。

边界防护没有消失，但职责正在变化

传统边界安全并非失效，而是难以独立承担全部治理职责。防火墙、入侵检测、网络分段等措施仍然适合控制网络暴露面、限制横向访问和保护关键区域，但它们回答的主要是“流量从哪里来、要到哪里去”。

在云环境中，同一项业务可能同时使用公有云资源、企业自建集群、第三方SaaS和跨区域数据服务。应用服务之间通过API调用，容器和函数实例可能动态创建与销毁，开发、运维和自动化流水线也会持续访问资源。此时，仅凭IP地址、网络区域或固定主机判断信任关系，容易出现三类问题：

• 身份被网络位置掩盖：进入内网并不等于具备访问所有系统的资格。
• 工作负载缺少明确责任主体：服务账号、容器、任务和自动化程序可能拥有长期有效的权限，却没有清晰的业务归属。
• 访问行为难以还原：多云日志、身份目录、应用审计和数据访问记录相互割裂，出现异常后很难判断谁在什么时间做了什么操作。

零信任的重点不是简单地“拒绝所有访问”，而是把信任从网络位置转移到可验证的身份、设备状态、工作负载属性、资源敏感度和访问上下文上，并根据风险动态决定是否允许、限制或追加验证。

身份与工作负载治理，分别解决什么问题

身份治理：回答“谁可以做什么”

身份治理覆盖员工、外包人员、合作伙伴、服务账号、机器人账号以及自动化任务等主体。企业需要建立的不只是统一登录，而是一套完整的生命周期管理：

1. 身份从哪里来，是否经过可靠的入职或注册流程；
2. 身份属于哪个组织、岗位、项目或业务责任单元；
3. 身份可以访问哪些资源，权限依据是什么；
4. 权限何时复核、何时回收，离职或项目结束后是否及时失效；
5. 高风险操作是否需要更强认证、审批或双人复核。

对于企业管理者而言，身份治理的难点通常不是“有没有权限系统”，而是权限是否仍然符合当前职责。长期积累的临时授权、共享账号、过期成员和未分类资源，会让最小权限停留在制度层面。

工作负载安全：回答“哪个程序在访问”

云原生环境中，应用服务、容器、作业、函数和流水线都可能成为访问主体。工作负载安全需要将程序与业务服务、运行环境和部署来源建立关联，重点关注：

• 工作负载是否来自经过审核的镜像、代码仓库和发布流程；
• 服务间调用是否使用可验证的工作负载身份；
• 访问数据库、密钥和对象存储时，权限是否与具体业务职责匹配；
• 工作负载发生漂移、异常调用或配置变化时，是否能够触发控制措施；
• 任务结束后，临时凭证和临时权限是否自动失效。

这并不意味着每个容器都要配置一套复杂规则。更实际的做法是先识别关键业务链路和高价值数据，优先治理能够产生重大影响的服务间访问，再逐步扩展覆盖范围。

零信任架构可以分成五层

企业重构时，建议把零信任视为治理体系，而不是单一产品或网络项目。一个便于落地的分层方式如下。

第一层：资产与关系盘点

先回答“企业到底有什么”。盘点对象不应只包括服务器，还应覆盖云账号、订阅、集群、镜像、流水线、服务账号、API、数据库、对象存储和敏感数据。

盘点的价值在于建立关系图：某个应用依赖哪些服务，使用哪些账号，访问哪些数据，运行在哪些环境。没有这张关系图，后续的权限收敛容易误伤业务，也无法判断哪些访问是必要的。

第二层：身份分级与责任归属

将人、机器、应用和自动化任务区分管理，并为每类身份明确责任人、生命周期和认证要求。高权限管理员、生产环境服务账号、数据导出任务和普通开发账号，不应采用同一套信任规则。

身份分级不宜只按部门划分，还应结合资源敏感度和操作影响。例如，读取测试数据与修改生产配置的风险并不相同；查询业务指标与批量导出客户数据，也不应拥有相同的授权条件。

第三层：最小权限与短时授权

最小权限不是把权限拆得越细越好，而是在业务可运行的前提下，减少不必要的访问范围和持续时间。具体判断可以围绕四个问题展开：

• 这个主体为什么需要该权限？
• 权限作用于哪些资源和操作？
• 是否可以改为只读、限定范围或限定时间？
• 如果身份被滥用，最坏影响能否被控制？

对人员而言，可采用基于角色、属性或项目的授权方式；对工作负载而言，应优先使用短时凭证、服务身份和明确的服务间策略，减少硬编码密钥和长期共享账号。

第四层：持续验证与动态决策

验证不应只发生在登录瞬间。访问过程中，企业还需要结合设备状态、身份风险、工作负载来源、资源敏感度、网络环境和行为变化进行持续判断。

动态验证可以分级处理：低风险访问保持正常流程；访问敏感数据时追加认证或审批；出现异常地理位置、异常调用频率、身份状态变化或工作负载偏离基线时，降低权限、暂停访问或转人工复核。这样既能提高安全性，也能避免对所有研发操作施加同等强度的阻断。

第五层：审计、检测与策略闭环

没有审计闭环，零信任最终会变成一堆分散策略。企业需要把身份变更、权限授予、策略命中、服务调用、数据访问和异常处置关联起来，形成可追溯记录。

审计的目标不只是保存日志，还包括定期回答：哪些权限长期没有使用？哪些账号拥有过高权限？哪些工作负载访问了不属于其业务范围的资源？哪些策略频繁触发但没有产生有效处置？这些问题可以反向推动权限收敛和架构调整。

安全性与研发效率，关键在于分级而不是二选一

零信任改造最容易引发的争议，是安全团队希望收紧权限，研发团队担心发布速度和调试效率下降。解决方式不是简单偏向某一方，而是按环境、数据和操作风险进行分级。

开发环境可以允许更高的试错自由，但要避免接触真实敏感数据；测试环境应重点控制外部依赖和数据脱敏；生产环境则需要强化身份认证、变更审批、短时授权和操作审计。对于紧急故障处理，可设计有时限的应急权限，使用后自动回收并进入复盘，而不是长期保留管理员权限。

策略发布也应采用渐进方式。先以观察和记录为主，分析真实访问关系，再对明确的高风险行为执行阻断。对于尚未识别的业务依赖，可以设置例外流程，但例外必须有负责人、有效期和复核时间，不能成为永久绕过机制。

如何判断改造成本与实施顺序

零信任项目的成本不只来自工具采购，还包括资产梳理、身份清理、应用改造、日志接入、策略运营和组织协作。企业可以从以下几个维度评估：

实施顺序通常应遵循“先看清，再收敛；先高价值，再扩展；先可观测，再强制执行”的原则。

第一阶段，建立云资产、身份和关键数据清单，处理共享账号、无人负责的服务账号和明显失效的权限。第二阶段，选择一到两个高价值业务链路，打通身份、工作负载、策略和审计信息。第三阶段，将短时授权、敏感操作审批和生产环境持续验证纳入日常流程。第四阶段，再把治理范围扩展到更多应用、云平台和供应链环节。

判断项目是否有效，不应只看接入了多少系统，还应关注高风险权限是否减少、身份生命周期是否可追踪、异常访问能否被发现、策略变更是否可审计，以及研发团队是否能够在可接受的流程成本内完成工作。

四类容易被低估的风险

误配风险

云安全策略往往具有较强的组合性，一个过宽的资源范围、一个错误的继承关系或一个未关闭的例外，都可能扩大实际访问面。策略上线前应经过模拟评估、分阶段发布和回滚验证，避免把未经验证的规则一次性推向所有环境。

权限过度集中

统一身份平台和策略中心能够提高管理效率，也可能形成新的高价值目标。如果过多权限集中在少数管理员或单一控制面，一旦账号、接口或流程被滥用，影响范围会迅速扩大。因此，关键权限需要分权、双人复核、分环境管理和独立审计。

供应链依赖

镜像、代码仓库、CI/CD流水线、第三方组件和外部服务都可能影响工作负载的可信度。企业不能只验证最终运行环境，还要关注构建来源、发布权限、制品流转和依赖变更。供应链治理的重点不是追求绝对隔离，而是确保来源可追踪、变更可审计、异常可撤回。

监控盲区

身份日志、云平台日志、容器日志和应用日志如果各自独立，企业仍然无法还原完整访问链路。特别是临时任务、短生命周期容器和跨云调用，容易出现记录缺失或关联困难。监控建设应优先围绕关键业务链路建立统一事件视图，而不是盲目收集所有日志。

企业重构安全架构的判断框架

面对零信任改造，技术负责人可以用五个问题检验方案是否务实：

1. 对象是否清楚：是否知道哪些人、服务和工作负载正在访问关键资源？
2. 责任是否明确：每个高风险身份、权限和例外策略是否都有负责人？
3. 权限是否必要：权限是否与业务任务匹配，能否缩小范围或缩短有效期？
4. 验证是否持续：身份、设备、工作负载和访问行为变化后，策略是否会重新判断？
5. 结果是否可追溯：出现异常时，能否还原访问主体、资源、操作、策略和处置过程？

如果这些问题仍然无法回答，继续增加安全产品未必能解决根因。企业更需要先补齐资产、身份和审计基础，再围绕关键业务逐步收敛权限。

【软盟观察】

云安全从边界防护转向身份与工作负载治理，并不意味着传统网络安全失去价值，而是安全控制的重心发生了变化。网络分段负责缩小暴露面，身份治理负责确认访问主体，工作负载安全负责识别程序来源和运行关系，数据策略与审计机制则负责限制影响并形成追责闭环。

企业投入不宜从“大而全”的平台建设开始，更适合选择关键业务、敏感数据和高权限身份作为切入口。对管理者而言，零信任的成熟度不在于策略数量，而在于权限是否能够随业务变化及时调整；对研发团队而言，好的方案应通过自动化、短时授权和分级策略减少人工阻塞，而不是把每次正常发布都变成审批项目。

需要警惕的是，身份集中、策略复杂、供应链依赖和监控盲区会带来新的系统性风险。零信任不是一次性上线工程，而是一套持续盘点、持续验证、持续复核的治理能力。只有把技术控制嵌入研发、运维和业务流程，企业才能在安全性与效率之间取得可持续的平衡。