技术干货 | 中通零信任安全代理ZFE

// Nginx配置
server_name test.com;
location /wwww/test {}

// 基于条件表达式的ZFE配置
req_host_in("test.com") && req_path_in("/www/test")

cond: req_user_type_in("departure") && req_host_in("a.com|b.com|c.com")
effect: block

cond: req_host_in("a.com|b.com|c.com") && req_user_action_in("privacy")
effect: record

cond: req_cookie_contain("sessionid")

cond: req_ssouserid_in("234|3444")

策略引擎

• 产品线(product)：策略生效的产品线。

• 身份主体(principal)：描述策略授权的身份实体。包括用户、应用、API、设备、用户组和角色等实体。

• 操作(action)：满足条件后授权的操作。

• 效力(effect)：描述声明产生的结果是“允许”还是“显式拒绝”。包括 allow（允许）和 deny （显式拒绝）两种情况，对应于action。

• 资源(resource)：描述授权的具体数据即资源。资源采用分段式设计，不同的段代表不同的区间，一般而言从大范围向小范围递进，直到能够标志具体数据。

• 条件（cond）：描述策略生效的约束条件，这里由高级表达式实现。

{
 "version": "2.0",
 "statement": [
    {
        "product":"sec",
        "effect": "allow",
        "action": "api:GetUserInfo",
        "principal": { 
            "zto": "zto:iam:ztemp:1234567" 
        },
        "resource": "*",
        "cond": "remote_ip_in(10.217.182.3/24|11.21.33.72/24)"
    }
 ]
}


该样例表示允许sec产品线中属于zto租户下的ztempy用户池（zt employee） 的用户 1234567在 10.217.182.* 或者 111.21.33.* 网段对iam服务中的api:GetUserInfo的访问。


ZFE基于策略可以实现针对各种复杂场景无侵入的访问控制，但是ZFE如何基于自然语言而不是传统的ACL来实现真正的应用层的零信任？
上述条件表达式举例中仍然部分沿用了传统网络的基于IP的描述符，可以做一定的过渡和兼容，但我们演进的方向是利用全局唯一的资源名称、身份实体、操作及其上的元数据，利用打标签的形式来构建元数据体系，从而应用在使用自然语言书写的表达式中，构成跨越传统网络边界的更具有普适灵活性的基于策略访问控制模型。在实际的落地中我们要解决诸如：


资源、身份实体、操作收集和定义的问题


标签库的梳理建立和自动化聚合更新的问题


访问资源行为的多级依赖关系梳理和动态更新问题


策略的统一管理、动态更新、策略冲突处理等问题


......




ZFE的发展中挑战很多，但前进的方向一定是正确的，以此拥抱云原生......



方便的控制面