上週推出的上篇《什麼是零信任架構（ZTA）》介紹了零信任的概念、優勢及劣勢; 本文將著重介紹零信任整體戰略、部署的變體和情景類比。
01 方法
這些方法代表了高層次的企業架構的關注，並表現了整體的零信任戰略。
1.強化身份治理
這種方法將政策決定的大部分放在使用者身份上。 其他請求參數，如設備狀態和行為可以作為因素，但它們不是主要的標準。 這意味著政策決定的關鍵將取決於所申請身份的分配許可權。 這種方法是相對集中的，由單一或少數身份供應服務控制所有身份的訪問。
2.微分
這種方法主要使用閘道元件（如智慧路由器或防火牆）作為類似資產組的 PEP，而這些元件的管理則起到PDP 的作用。 這種方法是相對分散的，如果使用基於軟體的執行代理，網段可以小到一個資產。
3網路基礎設施和軟體定義的界限
這種方法也使用網路基礎設施來執行政策，類似於上面的微分割方法，但通過動態配置網路來允許批准的連接。
02 部署的變體
這些部署的變體規模較小，用於設置單個元件或元件組，比上述方法能夠提供更多戰術指導。
1.基於設備代理/閘道的部署
這種部署方式將 PEP 分成兩個代理，一個在請求方，一個在資源方，它們在請求時相互通信。 請求資產上的代理負責將請求路由到適當的閘道; 資源方的閘道與 PDP 進行通信，以評估資產的要求。 這種部署通常與上面列出的微分割和軟體定義的界限方法配合得很好。
2.基於飛地的部署
這種部署模式類似於我們剛才討論的設備代理/閘道模式，只是閘道保護的是一個資源飛地，即類似資源或功能的組合。
這種方法代表了對零信任原則的某種妥協（信任架構的一點一滴），因為它在理論上使在飛地內有許可權的行為者有可能對該飛地內的任何資源採取行動。 這代表了一種在系統上實現零信任的方式，這種方式不適合一些更細化的方法，但它給許可權和基於角色的訪問控制帶來了必須精準的額外負擔。
3.資源門戶
這種部署是相對集中的，由一個單一的系統代表所有資產（或一大組資產）的PEP。 這種方法具有靈活性的優勢，因為它不需要所有客戶資產上的代理，但與其他方法相比，它也限制了對使用者姿態和行動的可視化和控制。
4.設備應用虛擬化
這種方法使用虛擬化，如虛擬機或容器，將應用與它所運行的資產隔離。 虛擬化在很大程度上被看作是保護伺服器不受工作負載影響的一種方式，而在零信任架構中，這種方法保護工作負載不受其需要運行的不可信任的資產影響。
03 情景類比
NIST 的方案是他們提供的最具戰略性的商業領域的例子，對於説明商業利益相關者理解零信任的實際意義很有説明。
1.擁有衛星設施的企業
在這種情況下，一個擁有單一主要設施的企業可能需要向次要設施或遠端工作人員授予訪問權。 雖然對衛星工作人員來說，訪問一些資源是必要的，但更重要的資產可能在現場訪問被限制，其他控制措施可以促進整體態勢。
在這種情況下，PDP 最有可能是一個雲服務，而 PEP 將表現為用戶端上的代理，或表現為一個資源門戶，如 Webtop。 許多企業已經實施了實現這一目標所需的架構，只需要進一步擴展他們的認證流程，就可以實現真正的 ZTA。
2.多雲/雲端對雲端企業
在這種情況下，一個企業的資源可能被託管在兩個獨立的雲環境中，這使得所有流量通過一個集中的企業內部接入點進入。 因此，每個應用、服務或數據源將有一個控制訪問的 PEP，使用者將連接到每個PEP，PEP 將與基於雲端的 PDP 通信。
3.有合同服務/非員工訪問的企業
這是一個特定的場景，來自外部企業的員工需要訪問某些資源（可能只是簡單地訪問互聯網），但不應該訪問企業局域網中的所有資產。
資源門戶或安裝在經過審查的資產上的代理將作為PEPs，那些在門戶上缺乏正確憑證或正確代理的使用者將可以訪問互聯網和任何面向公眾的資源，但不能訪問企業資產。
4.跨企業邊界的協作
這代表了這樣一種情況：一個企業的員工需要訪問合作夥伴控制下的特定資源，但合作夥伴需要控制與開放其環境有關的風險。 基於雲的 PDP，與本地代理或 PEP 的網路門戶配對，將允許企業授予對特定資源的訪問，而不必改變他們的網路或企業架構。
5.擁有面向公眾/客戶的服務的企業
在這種情況下，企業需要授予使用者對完全不受企業控制的資產的訪問權。 如果資源是完全公開的，沒有訪問控制，就沒有風險，因此不需要零信任，但一旦使用者或客戶要認證訪問特定的資源，分散環境中的使用者管理就變得費力了。
鑒於控制用戶資產安全狀況的困難，在這種情況下，ZTA 將大量使用行為指標來評估請求是否是無害的。在實踐中，這看起來像一個資源入口網站或 Webtop，但在幕後有增強的 PEP 功能。
04 總結
希望這篇文章已經解決了一些圍繞零信任的困惑，以及將原則轉化為架構、將架構轉化為運營所需的具體要素。
也許理解零信任概念的關鍵是關注PEPs、PDPs、它們的集中化程度，以及驗證和授權請求而不是使用者的基本目標。 零信任可以是一種控制風險的變革性方法，也可以成為另一種沒有多少實質內容的趨勢，而我們理解其理論和實踐之間差異的能力將決定它的走向。