当天讲完！ 零信赖里最硬核的概念

零信赖体系架构图实质上是零信赖的概念拼图，当天讲“零信赖形式”的“访问控制组件”。该架构图曾经更新到1.4版。

当天我们就谈谈“访问控制组件”的演变环节，很显著，访问控制组件是随着访问控制战略的变动而演变的。

假设我们把视线再拉回到《NIST SP800-207 零信赖架构》，或者对美国国度规范化委员会（NIST）零信赖架构里的两个外围组件印象深入：战略口头点（PEP，Policy Enforcement Point）和战略决策点（PDP, Policy Decision Point）。

这两个P，其实是因循了“可裁减的访问控制标志言语（XACMLL，Extensible Access Control Markup Language）”里的定义。

2006年，NIST在对访问控制系统钻研环节中特意是RBAC的钻研中，援用了“可裁减的访问控制标志言语（XACML）”。该言语是由“结构化消息规范推进组织（OASIS，The Organization for the Advancement of Structured Information Standards)”定义的。

这外面除了战略口头点（PEP）和战略决策点（PDP）外，还定义了“战略访问点（PAP，Policy Access Point）”和“战略消息点（PIP，Policy Information Point）”。

战略口头点（PEP）基于用户的属性、恳求的资源、指定的举措结构恳求，经过战略消息点（PIP）失掉其余环境消息。

战略决策点（PDP）接纳结构的恳求，经过战略接入点（PAP）将其适用的战略和系统形态启动比拟，而后将准许访问或拒绝访问的结果前往给战略口头点（PEP）。

战略决策点（PDP）和战略口头点（PEP）即可以集成在一个运行里，也可以扩散在网络中。

企业级ABAC访问控制机制中的4P

2014年，NIST在对ABAC的专题钻研中，将企业级ABAC的访问框架与XACML架构的基本逻辑坚持了分歧，只是把“战略访问点（PAP，Policy Access Point）”换成了“战略治理点（PAP，Policy Administration Point）”。

图：企业级ABAC的访问控制机制（ACM）示例

NIST零信赖架构里的2P与4P

图：NIST零信赖架构的外围组件

其中，把前面提到的“战略消息点（PIP）”变成了“战略引擎（PE，Policy Engine）”；把前面提到的“战略治理点（PAP）”变成了“战略治理器（PA，Policy Administrator）”。

而后把“战略引擎（PE）”和“战略治理器（PA）”装进了“战略决策点（PDP）”组件里。

CSA的通用零信赖形象架构

2024年，云安保联盟（CSA）把零信赖进一步形象成了上方的架构：

图：通用零信赖形象架构

其中，零信赖安保控制中心就是SDP里的Controller、谷歌 BeyondCorp里的“访问控制引擎（ACE,Access Control Engine）”和NIST 的“战略决策点（PDP）”的形象。

其中，零信赖安保代理就是SDP里的衔接接受服务器（AH，Accepting Host）、谷歌 BeyondCorp里的“ 访问代理 （Access Proxy）”和NIST的“战略口头点（PEP）”的形象。

图：通用零信赖形象架构与其它零信赖架构的相关

所以你会发现，零信赖形式其实就是基于两大平面的信赖治理与基于ABAC的访问控制，这就是零信赖的内核与灵魂。