认识达内从这里开始

我们在上文中给大家简单介绍了零信任架构技术的应用基础等内容，而本文我们就再来了解一下，零信任架构都包含哪些组件结构。

策略引擎(PE)：该组件负责终决定是否授予特定对象的资源访问权限。PE使用企业策略和外部资源输入(如CDM系统、威胁情报服务)作为信任算法的输入(更多参见3.3章节)来授权、拒绝或取消到该资源的请求。PE需要与策略管理器组件配对。策略引擎负责执行和记录决策(通过或拒绝)，策略管理器负责执行该决策。

策略管理器(PA)：该组件负责建立和/或管理一个对象到资源的通信(通过命令相应的PEP)。它会生成特定会话的认证和授权令牌，或为客户端生成可以访问企业资源的凭据。如果授权了一个会话，且请求通过认证，则PA会配置PEP，允许启动该会话。如果会话被拒绝(或前面的批准被撤回)，PA会通知PEP关闭连接。有些实现会将PE和PA作为同一个服务，上面则将其划分为了两个逻辑组件。当创建通信路径时，PA会与PEP通过控制面进行通信。

策略执行点(PEP)：该系统负责启用、监控以及终关闭一个对象到企业资源之间的连接。PEP通过与PA通信来转发请求以及/或接收PA的策略更新。在ZTA中，这是一个单独的逻辑组件，但可以划分为两个不同的组件：客户端(如笔记本电脑上的代理)和资源侧(如资源前面负责控制访问的网关)或通信路径上充当"守门人"的单个门户组件。PEP以外是托管企业资源的信任域。

持续诊断和缓解(CDM)系统：该系统会收集关于企业资产当前状态的信息，并将其更新到配置和软件组件。一个企业CDM系统提供了带资产访问请求信息(如是否运行在正确的打上补丁的操作系统上、企业批准的软件组件的完整性或出现了未批准的组件，以及资产是否出现了已知漏洞等)的策略引擎。CDM系统也负责在企业基础设施上活动的非企业设备上识别并(潜在地)执行一部分策略。

行业合规系统：这确保了企业仍然符合其归属的监管制度(如FISMA、医疗或金融行业信息安全要求)。它包括所有为保证合规而开发的所有策略。

威胁情报供给：它提供了内部或外部源的信息，用于帮助策略引擎作出访问决策。可能有多个服务同时从内部或外部源获取数据，并提供新发现的攻击或漏洞信息，也可能包括软件中新发现的缺陷、新识别的恶意软件等，然后向其他资产报告这类攻击，并通知策略引擎将拒绝来自企业资产的访问。

网络和系统活动日志：该系统会对实时(或近实时)反馈企业信息系统安全态势的资产日志、网络流量、资源访问动作和其他事件进行聚合。

数据访问策略：企业资源访问的属性包括规则和策略。应该由策略引擎(通过管理接口)编码或自动生成这些规则集。由于这些规则为企业的账户和应用/服务提供了基本的访问特权，因此它们是资源访问授权的起点。这些策略应该基于组织定义的任务角色和需求。

企业公钥基础设施(PKI)：该系统负责生成并记录企业为资源、对象、服务和应用发布的证书。也包括全局证书颁发机构生态系统以及FederalPKI(可能会，也可能不会集成到企业PKI中)。PKI有可能并不建立在X.509证书之上。

【免责声明】本文系本网编辑部分转载，转载目的在于传递更多信息，并不代表本网赞同其观点和对其真实性负责。如涉及作品内容、版权和其它问题，请在30日内与管理员联系，我们会予以更改或删除相关文章，以保证您的权益!更多内容请加danei0707学习了解。欢迎关注“达内在线”参与分销，赚更多好礼。