零信任是什么？

零信任是一种以身份为中心的安全模型，其核心思想是：对数据和资源的访问不应仅仅基于网络位置来决定。它要求用户和系统有力地证明自己的身份与可信度，并在允许其访问应用程序、数据和其他系统之前，执行精细的、基于身份的授权规则。零信任的名称来源于它的基本立场，即默认不信任任何请求，无论该请求来自网络内部还是外部。

传统的安全模型往往假设网络边界之内是可信的，一旦用户进入内网，就能较为宽松地访问各类资源。随着远程办公、云计算和移动设备的普及，这种以边界为核心的假设越来越难以成立。零信任正是对这一变化的回应，它把安全的重心从"在哪里"转移到"是谁、用什么设备、在什么条件下"，对每一次访问都进行验证。

从本质上看，零信任不是单一的产品，而是一套贯穿身份、网络与数据的安全理念和机制。在零信任模型中，身份通常运行在高度灵活的、具备身份感知能力的网络中，这类网络进一步缩小攻击面、消除通往数据的不必要路径，并提供清晰的外层安全护栏。理解零信任，需要先认识到现代 IT 环境的边界已经变得模糊，而持续验证正是应对这种模糊性的有效方式。

现代企业的工作方式发生了根本变化。员工需要从任何地点、使用各种设备访问业务应用，数据和服务也越来越多地分布在云端和多个网络中。在这种环境下，传统的"内网可信"假设不再成立，一旦攻击者突破边界，就可能在内部横向移动、访问大量敏感资源。零信任的价值，首先就体现在消除这种隐性信任所带来的风险。

其次，零信任通过实施最小权限原则，显著提升了数据保护水平。它主张两个组件如果不需要通信，就不应该能够通信，即使它们处于同一网络段内。通过只授权确有必要的访问路径，企业可以把每个身份的权限压缩到完成任务所需的最小范围，从而在发生泄露时把影响限制在最小。

对企业而言，零信任还带来了更精细、更具适应性的访问控制能力。IT 团队可以基于身份、设备状态、行为等多种上下文，做出连续的、动态的访问决策，而不是一次授权、长期有效。这种能力让安全策略能够随环境变化实时调整，帮助组织在日益复杂的威胁面前持续提升安全水位，也为合规审计提供了清晰的访问记录。

零信任由若干相互支撑的核心原则构成，理解这些原则是落地零信任的基础。每一条原则都指向同一个目标：把信任从静态的网络位置，转变为动态的、可验证的判断。

第一条原则是显式验证。零信任要求对每一次访问请求都进行身份认证与授权，而不是默认信任来自特定网络的流量。无论请求来自内网还是外网，系统都需要确认发起者的身份，并结合设备安全状态等上下文做出判断。这种持续验证确保了只有满足条件的用户才能获得访问权限，并在条件不再满足时及时收回。

第二条原则是最小权限访问。系统只授予身份完成当前任务所必需的权限，并尽量缩短权限的有效期。通过消除不必要的通信路径和过度授权，企业可以大幅缩小攻击面。当两个系统之间不需要交互时，就应当在策略上禁止它们通信，从而把潜在的横向移动风险降到最低。

第三条原则是假设已被攻破。零信任在设计时就假定威胁可能已经存在于环境之中，因此强调对访问行为的持续监控、精细的分段和全面的日志记录。借助对访问尝试的完整可见性，安全团队可以快速识别异常、响应事件，并不断优化策略。这三条原则共同构成了零信任"永不信任、持续验证"的完整逻辑。

零信任适用于几乎所有需要在开放环境中保护资源的场景。在远程与混合办公中，员工需要从家庭、外出或合作伙伴的网络访问企业应用，传统 VPN 往往授予过于宽泛的网络访问权限。零信任通过基于身份和设备状态的精细策略，让每个用户只能访问被明确授权的应用，既保障安全又简化了访问体验。

在多云与微服务架构中，零信任的作用尤为突出。当大量服务分布在不同的网络和账户中时，服务与服务之间的通信需要可靠的身份验证和基于上下文的授权。通过为服务间的每一条流量应用精细的访问控制，企业可以在不牺牲敏捷性的前提下，构建一致而安全的连接，避免因某个服务被攻破而波及整个系统。

在物联网与边缘计算场景中，传感器、控制器和云端处理往往完全运行在传统企业网络之外。零信任把设备身份认证与授权作为基础能力，为这些跨越开放网络的通信提供端到端的保护。无论是保护关键的工业基础设施，还是管理海量分散的终端设备，零信任都能通过统一的身份与策略框架，让复杂的访问变得清晰可控。

零信任的运行，可以理解为围绕每一次访问请求展开的"验证—授权—监控"循环。当一个用户或系统发起访问时，零信任架构首先要求它证明身份，这一步通常结合多重身份验证与身份提供商完成，确保请求者确实是其声称的主体。

在身份确认之后，系统会评估请求的上下文，包括设备的安全状态、访问的时间与位置、以及请求所涉及的资源敏感度。基于这些信息，策略引擎按照预先定义的规则做出授权决策，只有当所有条件都满足时，才授予对特定应用或资源的访问权限，而且这种授权是针对单次请求的，而非长期有效。这种以身份为中心、面向每个请求的验证方式，取代了传统上"进入内网即可信"的粗放模式。

值得强调的是，零信任并不在授权之后就停止工作。系统会持续监控访问行为，记录每一次访问尝试，并借助分析能力识别异常模式。当检测到偏离正常基线的行为时，可以动态收紧权限甚至阻断访问。近年来，一些零信任方案还引入人工智能与机器学习能力，通过对海量访问日志的学习，更敏锐地发现潜在威胁，让整个安全体系形成持续演进的闭环。

零信任与传统边界安全的根本差异，在于对"信任"的处理方式。传统边界安全遵循"城堡与护城河"的思路，把防御重心放在网络边界上，认为边界之内是安全的。这种模式依赖防火墙和 VPN 划分内外，一旦用户通过边界进入内网，往往就能较为自由地访问内部资源。

零信任则彻底放弃了"位置等于信任"的假设。它不再区分内网与外网，而是对每一次访问都要求验证身份、评估上下文并执行授权。这意味着即使请求来自网络内部，也不会被自动信任。这种转变把安全的粒度从网络边界细化到了单个身份和单次请求，大幅压缩了攻击者在突破边界后可利用的空间。

需要强调的是，零信任并非要完全抛弃传统的安全措施。防火墙、加密、网络分段等手段依然是零信任架构的组成部分，零信任改变的是组织这些手段的整体思路，即从静态的边界防御转向动态的、以身份为中心的持续验证。成熟的企业通常会分阶段推进，先评估工作负载组合，找出零信任能带来最大收益的部分，再逐步把理念落到实处。

零信任虽然理念清晰，但在落地过程中也面临若干现实挑战。首要问题是迁移的复杂性。许多企业已有大量遗留系统和既有网络架构，把它们改造为以身份为中心的零信任模型需要周密的规划和分阶段的实施，难以一蹴而就。贸然推进可能影响业务连续性，因此需要先评估工作负载、明确优先级。

其次是身份与上下文管理的难度。零信任高度依赖准确的身份信息和丰富的上下文数据，包括用户身份、设备状态和行为特征。如何统一管理分散的身份源、保证上下文数据的实时与可靠，是保证策略有效执行的前提。如果身份体系不健全，零信任的精细授权就难以落地。

此外，零信任还涉及用户体验与安全之间的平衡。过于频繁或繁琐的验证可能影响员工的工作效率，引起抵触；而验证不足又会削弱安全效果。企业需要在策略设计上找到合适的平衡点，让安全措施尽量无感。应对这些挑战，通常需要一套涵盖身份、网络与授权的完整服务作为支撑，帮助企业以标准化的方式构建零信任能力。

AWS 提供了一系列身份与网络服务，把零信任的核心构建块作为标准功能，帮助企业为新建和现有的工作负载应用零信任理念。借助这些服务，企业可以循序渐进地重新审视身份、认证与访问控制，在现状基础上实现切实的安全提升。

AWS Verified Access 可在无需 VPN 的情况下提供对企业应用程序和资源的安全访问，它根据用户身份和设备安全状态定义精细的访问策略，并对每个访问请求执行这些策略。Amazon VPC Lattice 是一项应用网络服务，通过集中的访问控制、身份验证和特定于情景的授权，提高服务到服务通信的安全性，为零信任架构提供支持。

Amazon Verified Permissions 是一项全托管的精细授权服务，帮助应用基于策略对用户请求进行细粒度的权限判断。AWS IAM Identity Center 则提供集中的身份与访问管理，让企业统一管理用户身份并连接外部身份提供商，为零信任的身份基础提供支撑。

立即探索 AWS 零信任相关服务，了解如何在 AWS 上构建您的零信任架构。