Google推出全托管零信任安全解决方案

Google正式推出全托管零信任(Zero-Trust)安全解决方案,该解决方案使用其开放服务网格流量管理服务Traffic Director、凭证颁发机构(Certificate Authority,CA)服务,以及Kubernetes服务GKE构建而成。

Google提到,企业在追求新的安全态势(Security Posture),来改进应用程序安全性时,开始将零信任安全解决方案纳入考虑。而零信任安全模型,指得是一种IT系统的设计和实例方法,默认不信任任何设备,即便是连接着企业内网,或是之前经过认证的设备都一样,通过相互验证(Mutual Authentication)确认双放身份,并仅给用户需要完成特定任务的权限,以强化信息安全,进一步防止恶意程序在企业内部横向移动。

因此零信任安全态势有几个基本模块,包括分配和身份确认方法,像是使用X.509凭证,还有使用相护验证mTLS与服务器身份验证TLS协议,同时系统还需要加密所有流量,并且进行身份检查和最低权限配置。基础设施要能支持上述的所有功能,并且易于管理且具可靠性。

Google则结合了Traffic Director和CA,来完成所有零信任安全态势的要求。Traffic Director提供了易于使用的服务网格流量管理机制,该服务是一个全托管服务网格流量控制层,用户可以使用Traffic Director在多个云计算地区,部署跨多个集群和虚拟机的全球负载均衡机制。而CA服务则是一个高可用度的私有CA,能够颁发标示身份的私有凭证,并且提供完整凭证生命周期管理的mTLS凭证基础设施。Traffic Director以及CA集成共同解决了凭证颁发,和CA轮替的复杂问题。

通过Traffic Director来管理服务到服务(Service-to-Service)安全性,用户能够获得服务网格的端到端加密、服务层级的身份验证,以及高精细度身份验证政策等功能。

Google这个零信任解决方案,在用户的服务间实例mTLS和TLS,包括凭证生命周期管理,且网格内的通信也会经过身份验证和加密,用户也能激活基于身份的验证,以及基于请求方法等其他参数的验证,Google解释,这些验证方法都是创建在基于角色的访问控制(RBAC)之上,让用户可以采取最低权限的设置,只有在经过授权的服务,才能根据规则允许或是拒绝相互通信。

无论用户是在服务网格中使用Envoy,抑或是无代理gRPC,该零信任解决方案都支持mTLS,不过无代理gRPC的授权支持,将会在今年稍晚时发布。

发表评论