Google推出全托管零信任安全解决方案

Google正式推出全托管零信任（Zero-Trust）安全解决方案，该解决方案使用其开放服务网格流量管理服务Traffic Director、凭证颁发机构（Certificate Authority，CA）服务，以及和Kubernetes服务GKE建构而成。

Google提到，企业在追求新的安全态势（Security Posture），来改进应用程序安全性时，开始将零信任安全解决方案纳入考虑。而零信任安全模型，指得是一种IT系统的设计和实作方法，预设不信任任何装置，即便是连接着企业内网，或是之前经过认证的装置都一样，透过相互验证（Mutual Authentication）确认双放身份，并仅给使用者需要完成特定任务的权限，以强化资讯安全，进一步防止恶意程式在企业内部横向移动。

因此零信任安全态势有几个基本模块，包括分配和身份确认方法，像是使用X.509凭证，还有使用相护验证mTLS与服务器身份验证TLS协定，同时系统还需要加密所有流量，并且进行身份检查和最低权限配置。基础设施要能支援上述的所有功能，并且易于管理且具可靠性。

Google则结合了Traffic Director和CA，来达成所有零信任安全态势的要求。Traffic Director提供了易于使用的服务网格流量管理机制，该服务是一个全托管服务网格流量控制层，用户可以使用Traffic Director在多个云端地区，部署跨多个丛集和虚拟机器的全球负载平衡机制。而CA服务则是一个高可用度的私有CA，能够颁发标示身份的私有凭证，并且提供完整凭证生命周期管理的mTLS凭证基础设施。Traffic Director以及CA整合共同解决了凭证颁发，和CA轮替的复杂问题。

透过Traffic Director来管理服务到服务（Service-to-Service）安全性，用户能够获得服务网格的端到端加密、服务层级的身份验证，以及高精细度身份验证政策等功能。

Google这个零信任解决方案，在用户的服务间实作mTLS和TLS，包括凭证生命周期管理，且网格内的通讯也会经过身份验证和加密，用户也能启用基于身份的验证，以及基于请求方法等其他参数的验证，Google解释，这些验证方法都是建立在基于角色的存取控制（RBAC）之上，让用户可以采取最低权限的设定，只有在经过授权的服务，才能根据规则允许或是拒绝相互通讯。

无论用户是在服务网格中使用Envoy，抑或是无代理gRPC，该零信任解决方案都支援mTLS，不过无代理gRPC的授权支援，将会在今年稍晚时释出。