企业构建零信任架构已经成为近年热门的话题之一。本质都是保护企业核心数据安全，防止未经合法授权的数据的访问行为。阿里云SASE依托于阿里云的网络组网优势，为用户提供一个稳定、高效的SD-WAN组网及接入能力，与此同时叠加安全能力。

概述

方案简介

什么是零信任架构

零信任架构（Zero-Trust-Architecture，简称ZTA）是一种基于零信任原则的企业网络安全框架，不是单一产品，是安全能力和安全策略的结合。是需要结合用户的身份、设备、应用、网络、基础设施、企业数据等多个维度的能力建设构建的一种网络安全框架。零信任架构解决了传统信任模型中“默认信任”的风险，有效解决当前外部网络安全态势下，和企业日益复杂的网络架构下威胁升级的问题。零信任架构的几个经典的假设：

• 没有网络是值得信任的，网络已经被攻破。
• 网络外部和内部威胁始终存在。
• 网络位置不足以决定网络中的信任。
• 每个设备、用户和网络流都经过认证和授权。
• 策略必须是动态的，并根据尽可能多的数据来源进行计算。

什么是SASE（Secure Access Service Edge）

Gartner在2019年发布的《网络安全的未来在云端》中提出一项新的技术概念Secure Access Service Edge(SASE)，其定义是一个融合了软件定义广域网和网络安全功能、以支持数字化企业需求的新兴技术。Gartner在分析报告中指出

• 到 2023年，20% 的企业将从单一供应商采购 SWG、CASB、ZTNA 和分支机构的FWaaS（防火墙即服务）服务，而这一比例在 2019 年只有5% 。
• 到 2024年, 最少将有 40% 的企业将有明确的切换到 SASE 的策略，而这一比例在 2018 年末仅为 1% 。
• 到 2025年，最少将有一家 IaaS 服务商的领导者会提供有竞争力的SASE 套装。

同时SASE也是落地零信任架构的一种实现方式。企业在混合云战略趋势下选择基于SASE落地零信任是一种最佳的捷径。SASE是将广域网和安全进行了结合，是基于实体的身份、实时的上下文，以及在整个会话中的实施风险分析和评估。

为什么选择SASE落地零信任架构

背景1 IT基础设施的变化随着云计算的推广和普及，以及业务快速发布对于技术架构的挑战，企业的IT基础设施也在发生着巨大的变化。应用的部署开始适配虚拟化、微服务以及云原生。这就导致了业务结构和网络架构变得复杂，企业边界从传统IDC扩大云端，形成混合云的IT基础架构。而云的优势更能够适应当下业务发展的需求，企业逐步形成了以云端为中心，链接IDC和办公网的庞大的IT组网结构。背景2 混合办公成为常态在疫情时代，企业要应对因疫情导致的各种突发状况，远程办公，混合办公，多地办公成为常态。在这个大背景下企业需要为员工开放应用访问权限，从而满足在全国各地，以及海外员工对于云端应用、企业服务的访问需求。网络访问并发、访问质量和体验以及访问服务本身成为企业最大的痛点。企业实施零信任带来的阻力

SASE架构的特点

目标读者

企业IT、安全、运维管理员

适用业务场景

相关概念

• ZTNA：ZTNA全称为零信任网络访问(Zero-Trust Network Access）它在一个或一组企业应用程序周围创建基于身份和环境的逻辑访问边界。企业应用程序被隐藏，访问这些企业应用程序的实体必须经过信任代理。在允许访问之前，代理网关先验证指定访问者的身份，环境和是否遵守访问策略。这将企业应用程序从公众的视线中移除，并大大减少了攻击面。
• SASE：SASE全称是Secure Access Service Edge即安全访问服务边缘。SASE这一概念最早出现在Gartner的《The Future of Network Security Isin the Cloud》这篇报告中。SASE的核心就是身份，即身份是访问决策的中心，而不再是企业数据中心。
• SWG：SWG全称为安全Web网关（SWG — Secure Web Gateway）。
• SD-WAN：Software Defined Wide Area Network，即软件定义广域网，是将SDN技术应用到广域网场景中所形成的一种服务，这种服务用于连接广阔地理范围的企业网络、数据中心、互联网应用及云服务。
• CASB：云访问安全代理（Cloud Access Security Broker）是位于云服务消费者和云服务提供商（CSP）之间的内部或基于云的策略实施点，用于监视与云相关的活动，并应用与基于云的资源的使用相关的安全性、合规性和治理规则。
• SDP：SDP Software Defined Perimeter（软件定义边界），2013 年由云安全联盟 CSA提出。

方案架构

方案架构图

基于业界和阿里巴巴自身最佳实践，将边缘计算和零信任框架进行结合，以SASE（安全访问服务边缘模型）构建阿里云零信任安全架构体系。架构包含可信访问代理、安全接入网关、统一身份网关、应用安全网关和持续风险评估决策中心四个重要部分组成。同时基于阿里云边缘计算节点，提供全球高速的安全访问网络。为企业办公提供高效、稳定、安全、便捷的安全访问服务。本方案通过在客户端部署安全访问代理（SASE客户端），将用户访问企业资源的请求按需就近转发到阿里云全球边缘计算节点，通过SASE安全接入网关对访问主体进行可信设备、网络的校验，联动统一身份网关IDAAS校验可信身份和相关权限，并通过应用安全网关（SASE网关）转发到云上，或企业IDC。

架构说明

• 安全访问代理：通过轻量化 Agent 仅将访问内部应用的流量代理到网关。
• 安全接入网关：通过阿里云全球 POP 接入点就近转发企业流量至公有云或 IDC。
• 统一身份网关：统一管控企业身份体系，每次访问都校验请求者的身份和权限。
• 应用安全网关：应用接入和隐身，实现暴露面的收敛。
• 持续风险评估：对每次请求的行为和登录状态进行动态的风险分析并预警。

方案优势

• 安全高效的零信任网络：基于阿里云全球 POP 点为企业提供高速的网络访问体验，并结合多年安全攻防积累，为企业提供实时的访问流量入侵检测和防护。
• 云原生的零信任架构：遵循零信任原则构建访问可信链，通过云原生的边缘安全接入点和网关进行身份、设备、网络、情报的安全校验和最小化权限管控，构建企业可信的安全架构。
• 灵活快速的部署方式：SaaS 化安全服务即开即用，无需部署和投入硬件资源，快速搭建零信任网络架构，并支持多云、混合云的部署形态，优化复杂的全互联组网，降低运维压力。
• 弹性稳定的零信任网关：原生的动态扩缩容能力，有效应对疫情期间突发的访问并发扩容问题，云原生的架构提供了天然的高可用机制和网关自身的安全防护，保证网关的可用性。
• 敏感数据的识别和防护：借助强大的数据识别和流量分析能力对办公网外发、下载的行为进行敏感数据的识别和途径分析，帮助企业获取敏感数据使用地图并进行告警和管控。
• 全球办公应用安全加速：依靠阿里云全球网络基础设施，基于零信任网络架构为企业提供全球化办公应用安全加速访问，满足合规的基础上，提供安全、可靠、便捷的办公环境。

方案实施

前置条件

网络架构说明

网络架构1：业务均部署在阿里云上

网络架构如下图所示，业务均部署在阿里云VPC内。

网络架构2：业务分布在阿里云和其他云（IDC）上

网络架构图如下图所示，一部分业务位于阿里云VPC内，另一部分业务部署在线下IDC或其他云上。IDC或其他云到阿里云侧通过专线打通。

操作步骤

企业用户快速操作指引

第一步：创建IDP设置，添加“自定义IDP”类型，填写IDP名称，并选择二次认证方式。并点击确定。

第二步：点击新建的自定义IDP配置，将状态调整为启用，并点击详情，进行自定义用户的创建。

第三步：点击添加用户，新增自定义用户。此时注意用户名的书写规范，必填项包括邮箱，创建好新用户后，会向用户邮箱发送初次登录信息（企业标识和初始密码）。

第四步：返回上级菜单选择添加用户组，将刚刚创建的用户加入到指定的角色组中。配置如下图所示，在IDP属性中可选择匹配账户名称或邮箱等字段属性。

第一步：回到IDP设置页面，选择新建IDP源，选择基于LDAP创建新的身份源。将IDP配置状态调整为已启用，同时选择相关类型，如AD或open LDAP 。

第二步：需要同AD或LDAP管理员获取相关账号信息和权限，填充以下内容。

第三步：注意“SSL链接方式”配置选项，需要明确当前LDAP的访问方式是否为SSL链接，通常情况下是不使用SSL链接。实际情况需要结合企业自身的配置进行选择。

第四步：输入BaseDN 信息，用户读取组织目录，该位置填写的账号格式和要求参考基于LDAP创建身份源配置。

第一步：通常情况下在网络场景1中，用户只需要在“内网访问-网络配置”中选择“阿里云业务”中相关的VPC信息，选择打通网络即可。具体各参数说明详见配置阿里云业务。

第二步：在“网络配置-非阿里云业务”中找到“连接器列表”选择添加connector。将刚刚创建的连接器配置到SASE网关中。

（可选）第三步：若用户在IDC或其他云是通过专线或VPN连接到阿里云网络中的，则无需部署connector组件，直接在“非阿里云业务”中选择“其他”找到对应的VBR信息，选择“网络打通即可”。

第二步：创建零信任访问控制策略，在零信任访问控制策略中，需要验证三个维度的信息，分别是用户认证、访问授权和设备基线。其中选择生效的用户组和该用户可访问的应用权限是必选项。设备基线是备选项。详细操作说明详见配置零信任应用策略。

第三步：选择是否开启共享，全局共享的概念是针对账号而言，是否允许该设备上登录不同的账号，适用于多账号的场景，如外包或审核人员或临时测试账号等。详见共享设置。

第一步：创建安全基线的目的是为了解决入网终端自身的安全性以及实现资产信息的可见可控。基线的配型包括了终端类型、安全wifi、安全进程、防火墙等。安全进程及可自定义一些软件进程已用于企业内部推广部分应用。详细配置详见基线配置。

第二步：获取客户端，可在Apple store 或安卓应用市场中搜索云安全访问服务进行下载。PC端可通过SASE服务端提供的下载链接进行下载。详细参照公网下载地址。

第三步：获取企业标识，用于在SASE客户端登录到唯一企业的标识。可在设置中自定义企业标识。

第四步：打开客户端登录，输入企业标识，并根据设定的IDP认证方式进行登录即可完成设备的授信和资源的访问。