零信任参考架构

1. 用途和受众

1.1 预期用途

为需要在华为云上实施零信任架构的组织提供参考蓝图。本架构通过集成身份认证、端点安全、网络隔离、数据加密、安全监控和自动化响应等能力，帮助组织从规划阶段快速进入部署阶段。架构支持模块化部署，无需一次性全栈采纳，可根据优先级逐步推进零信任旅程。

1.2 目标受众

• 政府和公共部门安全架构师及首席信息安全官（CISO）
• 企业安全团队和运维团队，需要在云上实施零信任策略的技术人员
• 合规与风险管理团队，需要评估零信任架构是否满足监管要求的审计人员
• 云迁移项目团队，从 源参考 或其他云平台迁移到华为云并保持零信任能力的团队

2. 参考架构概述

2.1 架构描述

零信任参考架构是面向政府和大型企业安全办公场景的综合安全架构，旨在通过集成身份与访问管理、端点安全、网络隔离、数据加密保护、安全监控分析和自动化响应编排七大能力域，加速零信任架构在华为云上的落地采纳

2.2 业务背景

2.3 架构优点

• 持续验证与动态访问控制：通过 IAM 和 OneAccess 实现每次登录的身份验证和会话监控，自动执行访问策略并响应异常行为
• 端点合规联动：HSS 对终端设备进行安全评估并分配 ZTA 评分，评分与身份和网络层联动，实现"不合规不接入"策略
• 网络微隔离：通过 WAF、VPN、Anti-DDoS 和 VPC 实现网络分段和直接连接，防止横向移动攻击
• 全栈可见性：CES、LTS 和 SecMaster 提供集中安全监控和态势感知，统一仪表板实时展示威胁和安全态势
• 自动化响应：FunctionGraph 和 SMN 支持预配置安全剧本的自动执行，缩短威胁响应时间
• 模块化渐进部署：支持按优先级分阶段部署，无需一次性全栈采纳即可逐步获得安全收益
  

2.4 设计关注点

2.5 典型架构

2.6 流程描述

1. 用户访问 → IAM：联邦政府用户发起访问请求，IAM 进行身份认证与持续验证。每次登录验证用户身份，监控活跃会话的安全风险，自动执行访问策略，对可疑登录位置或异常行为模式发出响应
2. 终端设备 → HSS：终端设备（笔记本、工作站、云计算实例）接入时，HSS 进行安全检查与 ZTA（零信任评估）评分。检测威胁、拦截恶意软件，将安全评分共享给 IAM 和网络安全层，执行"合规方可连接"策略
3. 网络流量 → WAF：外部应用流量经过 WAF 安全防护与 Anti-DDoS 流量清洗。源参考方案 对标能力：监控网络流量，基于用户/设备/应用风险评估执行安全策略，创建直接、分段的连接到仅授权资源，防止网络横向移动
4. 安全请求 → APIG：通过安全验证的请求到达 API 网关，执行路由分发与访问控制策略。APIG 作为应用层入口，对每个 API 调用进行身份验证和权限检查
5. 业务请求 → CCE：APIG 将请求分发至 CCE 云容器引擎执行业务逻辑。ECS 提供弹性计算能力，FunctionGraph 处理事件驱动的无服务器计算任务。源参考 原生安全服务对标为华为云安全组、网络 ACL 等防护
6. 数据访问 → KMS：业务服务访问数据时，KMS 提供密钥管理，DEW 进行数据加密保护。对标 源参考+XQ 的组合能力：监控数据访问、执行加密策略、评估访问风险等级，保护静态数据和传输中数据
7. 全量日志 → CTS：云审计服务 CTS 和云日志服务 LTS 采集全量操作日志，记录所有访问行为。对标 源参考+源参考方案 的集中安全监控能力：通过统一仪表板提供实时威胁可见性、安全态势和运营性能
8. 威胁情报 → SecMaster：安全云脑 SecMaster 汇聚所有安全日志进行态势感知。对标 源参考+源参考方案 的自动化编排能力：通过 AOM 执行预配置的自动化安全工作流，处理常规威胁检测、安全告警和初始响应动作

2.7 云服务产品清单

3. 参考链接

4. 使用限制

• 参考架构非生产就绪：本文档为参考架构，提供设计蓝图和最佳实践指导，不包含可直接部署的自动化脚本或完整配置。实际部署需根据组织具体需求进行定制化适配
• 云平台版本要求：部分服务（如 SecMaster、OneAccess）可能需企业版账号或特定版本才能开通使用，建议在部署前确认所需服务的可用性
• 服务白名单：部分高级安全服务（如 DEW 专属加密、CGS 容器安全）可能需提前申请白名单开通
• 跨区域部署限制：跨区域部署时需考虑数据同步延迟和合规要求（如数据本地化），部分安全服务可能不支持跨区域联动
• 推荐部署规模：本架构适用于中大型政府机构和企业组织（500+ 用户），小型组织可能无需全栈部署，可选择核心模块渐进实施
• 组件替换风险：架构设计支持组件替换和新增（如用第三方 IdP 替换 OneAccess），但替换已验证的组件可能引入集成兼容性问题，需额外测试验证
• 合规认证依赖：架构对标 CISA/DoD 零信任标准和 FedRAMP 合规要求，但实际合规认证需组织自行完成认证流程，本架构不替代正式合规审计
• 持续运维要求：架构需要持续的安全策略调优、ZTA 评分规则更新、威胁检测规则维护和版本升级，非一次性部署即可永久生效

附录 A. 术语和缩略语