May 2025
Beginner to intermediate
240 pages
2h 31m
Chinese
Content preview from 零信任网络
Become an O’Reilly member and get unlimited access to this title plus top books and audiobooks from O’Reilly and nearly 200 top publishers, thousands of courses curated by job role, 150+ live events each month,
Start your free trial
第 9 章 实现零信任网络 实现零信任网络
本作品已使用人工智能进行翻译。欢迎您提供反馈和意见：translation-feedback@oreilly.com
本章将帮助读者制定策略，将前几章的知识应用到自己的系统中。零信任网络很可能是围绕现有系统建立的，因此本章将重点讨论如何成功实现这一过渡。
重要的是要记住，零信任不是一个可以安装在网络上的产品。它是一套基于网络需求和限制而应用的架构原则。因此，本章不能提供一个需要进行更改的清单，而是提供一个如何在自己的系统中实现零信任网络的框架。
选择范围
在开始建立零信任网络之前，必须选择适当的工作范围。一个非常成熟的零信任网络会有许多相互作用的系统。对于大型组织来说，构建这些系统也许是可行的，但对于小型组织来说，这些系统的数量和复杂性可能会让零信任网络显得遥不可及。
重要的是要记住，零信任架构是一个可以努力实现的理想，而不是从一开始就必须完全满足的一系列要求。这与基于边界的网络并无不同。不太成熟的网络最初可能会选择简单的网络设计，以降低管理的复杂性。随着网络的成熟和漏洞风险的增加，网络将需要重新设计，以进一步隔离系统。
虽然零信任网络设计是一种理想，但并非设计的所有功能都具有同等价值。确定哪些组件是必需的，哪些是很好的，将大大有助于确保零信任实施的成功。
实际需要什么？
要限制零信任网络的范围，就必须对本书前面介绍的一系列属性进行优先排序。这份 RFC 式的优先级列表是作者对如何确定这项工作优先级的意见：
- 所有网络流在处理前都必须经过验证。
- 所有网络流在传输前都应加密。
- 认证和加密必须由网络中的端点执行。
- 必须对所有网络流进行枚举，以便系统强制执行访问。
- 网络内应使用最强的身份验证和加密套件。
- 身份验证不应依赖公共 PKI 提供商。而应使用专用 PKI 系统。
- 设备应定期扫描、打补丁和轮换。
有了这份建立零信任网络的设计要求优先级列表，让我们来探究一下为什么要对特定要求进行这样的分类。 ...