基于零信任访问策略的安全微服务架构及实现方法技术

本发明专利技术提供了一种基于零信任访问策略的安全微服务架构及实现方法，该架构包括：身份认证中心、微服务域、内部安全域、公共API代理及私有API代理，身份认证中心包括：访问策略模块、加脱密模块、安全生产认证模块和信任引擎模块，信任引擎模块执行身份验证并生成短期Access Token和Refresh Token；实现过程为：请求资源、单点登录并验证身份、分配权限、返回Token、过滤并检查Token有效性以执行访问；在调用方需要到达内部安全域时，通过Facade服务访问私有API代理并传递匹配的额外授权级别。本发明专利技术通过身份验证和授权机制生成短期Token，以此保护与前端系统隔离的分布式微服务，通过私有API代理实时调整微服务的安全优先级别，减少微服务体系可能的攻击面，实现纵深防御策略。

【技术实现步骤摘要】
基于零信任访问策略的安全微服务架构及实现方法
本专利技术属于微服务
，具体涉及一种基于零信任访问策略的安全微服务架构及实现方法。
技术介绍
在网络系统中，安全是一个长期存在的问题，随着微服务的出现，安全变得更加具有挑战性。由于通过将系统分解为更小、独立和分布式的单元，出现了大量的入口点和通信流量。微服务正在成为企业设计模式中软件开发的新规范，允许通过组成轻量级服务构建软件系统。特别是在开发复杂和分布式应用程序方面，它是一种架构设计模式，旨在解决在线服务的可扩展性、可伸缩性和易于维护的问题。此外，信任不能简单地在网络中的单个微服务之间建立，这些微服务通常来自不同的未知提供者。当前微服务存在的问题有：(1)由于应用程序的逻辑层和中间层被分割成许多较小和独立的部分，攻击面将显著增加。(2)前端和后端松耦合，允许多个前端系统与后端服务进行通信，增大了受到攻击的可能性。零信任强调“不信任任何人，对所有人进行身份验证”，每个部署的微服务都必须按照要求使用细粒度的安全策略进行保护，这些策略将仔细检查微服务的进出流量。通过零信任机制，可以构建微服务间的安全访问以及容器内的可信安全环境，要求网络中的所有服务访问都要进行身份验证，加密授权。基于上述分析，现有技术亟需一种基于零信任访问策略的安全微服务方案。
技术实现思路
本专利技术的目的在于针对现有技术的不足之处，提供一种基于零信任访问策略的安全微服务架构及实现方法。为解决上述技术问题，本专利技术采用如下技术方案：一种基于零信任访问策略的安全微服务架构，包括：身份认证中心、微服务域、内部安全域、公共API代理以及私有API代理，其中，所述身份认证中心包括：访问策略模块、加脱密模块、安全生产认证模块和信任引擎模块，所述访问策略模块依据最小特权原则制定基于角色的访问控制策略；所述加脱密模块用于对数据进行透明加密；所述安全生产认证模块用于安全地标识动态和异构环境中的微服务；所述信任引擎模块负责身份验证，并生成短期AccessToken和RefreshToken，用户通过Token访问微服务，所述微服务域用于存储公共服务，所述内部安全域用于存储特定的高感级服务或管理服务，所述公共API代理用于提供单点登录并具有过滤机制，用于接受用户的访问请求并调用所述身份认证中心的所述信任引擎模块，所述私有API代理具有额外的授权方案，在调用方需要到达所述内部安全域时，通过Facade服务访问所述私有API代理并传递匹配的额外授权级别。进一步地，安全微服务架构还包括：安全风险中心，所述安全风险中心包含：中心日志聚合模块、漏洞检测模块和任务编排模块，所述中心日志聚合模块用于持续监控服务和用户记录活动；所述漏洞检测模块用于扫描系统并帮助开发者尽快识别漏洞；所述任务编排模块用于将安全扫描任务按照逻辑关系进行组合以形成自动化监测和反馈机制。一种基于零信任访问策略的安全微服务访问实现方法，基于权利要求上述的基于零信任访问策略的安全微服务架构实现微服务授权过程，该方法包括以下步骤：用户请求托管在微服务上的受保护资源；用户进行单点登录，公共API代理进行多因子身份验证；验证通过后生成Credential并提交，通过公共API代理对信任引擎模块进行调用；信任引擎模块请求访问策略模块对用户动态分配权限；信任引擎模块向前端返回短期AccessToken和RefreshToken；前端存储RefreshToken，并通过AccessToken再次调用微服务；公共API代理执行过滤机制，向信任引擎模块发出授权检查以执行访问授权操作。进一步地，所述访问授权操作包括：在信任引擎模块验证AccessToken为有效时，将请求发送到微服务以传递用户所需的请求，使用户访问微服务；和/或在信任引擎模块验证AccessToken为无效时，拒绝用户访问微服务；和/或在信任引擎模块验证AccessToken过期时，通过RefreshToken从信任引擎模块请求新的AccessToken并再次执行验证操作。进一步地，所述信任引擎模块请求访问策略模块对用户动态分配权限的步骤包括：用户向信任引擎请求权限；信任引擎模块向访问策略模块请求评估用户信任度；访问策略模块检测账户及关联属性；查询日志聚合模块基于以往用户行为进行自动分析以得到用户访问的可接受风险级别以执行分配权限操作。进一步地，所述权限分配操作包括：在用户访问的可接受风险级别为接受时，检测请求资产状态，向安全生产认证模块调用微程序的动态标识，对用户进行权限分配；和/或在用户访问的可接受风险级别为不接受时，则不予用户分配权限。进一步地，在用户调用内部安全域中微服务时，该方法还包括以下步骤：用户调用Facade服务，通过Facade向私有API代理发出请求；私有API代理执行过滤机制，验证用户提供的额外授权Credential；基于额外授权Credential的验证结果执行内部安全域访问授权操作。进一步地，所述内部安全域访问授权操作包括：在信任引擎模块验证额外授权Credential成功时，私有API代理请求访问策略模块对用户动态分配额外权限，并允许用户访问内部安全域中微服务；和/或在信任引擎模块验证额外授权Credential失败时，拒绝用户的访问请求。与现有技术相比，本专利技术的有益效果为：本专利技术通过身份验证和授权机制生成短期Token，以此保护与前端系统隔离的分布式微服务，通过引入私有API代理来实时调整微服务的安全优先级别，减少了微服务体系可能的攻击面，并提供了纵深防御策略。具体表现在以下方面：1)信任引擎基于零信任机制管理和控制用户的认证和授权，减少了可能的攻击面。2)使用透明加密等技术，利用定时更改的安全密钥对静态数据进行加密，保证多种异构数据库中的数据安全性。3)将重要微服务存于内部安全域中，由私有API代理实现系统的多层安全控制，构建纵深防御。4)访问策略基于最小特权原则进行动态授权，仅将访问权限授予那些不仅经过身份验证而且有权访问API的用户，并且仅根据需要授予API访问权限并进行扩展。5)对安全漏扫任务进行自动化编排，提高安全风险排查效率。附图说明图1为本专利技术的实施例中基于零信任访问策略的安全微服务架构的框架示意图。图2为本专利技术的实施例中用户调用微服务过程的流程图。图3为本专利技术的实施例中权限分配流程图。图4为本专利技术的实施例中用户调用内部安全域中微服务过程的流程图。具体实施方式下面结合附图所示的实施例对本专利技术作进一步说明。如附图1所示，本实施例公开了一种基于零信任访问策略的安全微服务架构，具体包括：身份认证中心、安全风险中心、微服务域、内部安全域、公共API代理以及私有API代理本文档来自技高网...

【技术保护点】
1.一种基于零信任访问策略的安全微服务架构，其特征在于，包括：身份认证中心、微服务域、内部安全域、公共API代理以及私有API代理，/n其中，所述身份认证中心包括：访问策略模块、加脱密模块、安全生产认证模块和信任引擎模块，所述访问策略模块依据最小特权原则制定基于角色的访问控制策略；所述加脱密模块用于对数据进行透明加密；所述安全生产认证模块用于安全地标识动态和异构环境中的微服务；所述信任引擎模块负责身份验证，并生成短期Access Token和RefreshToken，用户通过Token访问微服务，/n所述微服务域用于存储公共服务，/n所述内部安全域用于存储特定的高感级服务或管理服务，/n所述公共API代理用于提供单点登录并具有过滤机制，用于接受用户的访问请求并调用所述身份认证中心的所述信任引擎模块，/n所述私有API代理具有额外的授权方案，在调用方需要到达所述内部安全域时，通过Facade服务访问所述私有API代理并传递匹配的额外授权级别。/n

【技术特征摘要】
1.一种基于零信任访问策略的安全微服务架构，其特征在于，包括：身份认证中心、微服务域、内部安全域、公共API代理以及私有API代理，
其中，所述身份认证中心包括：访问策略模块、加脱密模块、安全生产认证模块和信任引擎模块，所述访问策略模块依据最小特权原则制定基于角色的访问控制策略；所述加脱密模块用于对数据进行透明加密；所述安全生产认证模块用于安全地标识动态和异构环境中的微服务；所述信任引擎模块负责身份验证，并生成短期AccessToken和RefreshToken，用户通过Token访问微服务，
所述微服务域用于存储公共服务，
所述内部安全域用于存储特定的高感级服务或管理服务，
所述公共API代理用于提供单点登录并具有过滤机制，用于接受用户的访问请求并调用所述身份认证中心的所述信任引擎模块，
所述私有API代理具有额外的授权方案，在调用方需要到达所述内部安全域时，通过Facade服务访问所述私有API代理并传递匹配的额外授权级别。


2.根据权利要求1所述的基于零信任访问策略的安全微服务架构，其特征在于，还包括：
安全风险中心，所述安全风险中心包含：中心日志聚合模块、漏洞检测模块和任务编排模块，所述中心日志聚合模块用于持续监控服务和用户记录活动；所述漏洞检测模块用于扫描系统并帮助开发者尽快识别漏洞；所述任务编排模块用于将安全扫描任务按照逻辑关系进行组合以形成自动化监测和反馈机制。


3.一种基于零信任访问策略的安全微服务访问实现方法，基于权利要求1或2所述的基于零信任访问策略的安全微服务架构实现微服务授权过程，其特征在于，该方法包括以下步骤：
用户请求托管在微服务上的受保护资源；
用户进行单点登录，公共API代理进行多因子身份验证；
验证通过后生成Credential并提交，通过公共API代理对信任引擎模块进行调用；
信任引擎模块请求访问策略模块对用户动态分配权限；
信任引擎模块向前端返回短期AccessToken和RefreshToken；
前端存储RefreshToken，并通过AccessToken再次调用微服务；
公共API代理执行过滤机制，向信任引擎模块发出授权检查以执行访问授权操作。


4....

【专利技术属性】
技术研发人员：崔晓晖，朴杨鹤然，陶启，郑承良，张宽，
申请(专利权)人：武汉大学，
类型：发明
国别省市：湖北;42