【零信任安全架构】身份感知代理：Google IAP、Pomerium 与零信任的入口
内容提要
Google的身份感知代理（IAP）通过将认证和授权逻辑从应用中剥离，简化了内部Web应用的安全管理。IAP作为反向代理，处理用户身份验证，并将已验证的身份信息传递给后端应用。其核心优势在于应用无需修改即可实现安全控制，支持OAuth2认证和IAM权限检查。Pomerium和oauth2-proxy是IAP的开源替代方案，提供灵活的授权策略和简单的认证功能。选择合适的IAP解决方案需根据具体需求评估。
关键要点
-
身份感知代理（IAP）是一个反向代理，负责处理用户的认证和授权逻辑。
-
IAP的核心思想是将认证逻辑从应用中剥离，减少应用的复杂性和错误率。
-
Google IAP作为内置服务，运行在GCP的全球负载均衡层，提供OAuth2认证和IAM权限检查。
-
IAP通过JWT断言向后端应用传递用户身份信息，确保后端应用不直接信任未签名的Header。
-
Pomerium是一个开源的身份感知代理，提供比Google IAP更灵活的授权策略。
-
oauth2-proxy是一个轻量级的IAP实现，专注于认证而非授权，适合简单场景。
-
IAP在请求路径上引入额外的延迟，具体延迟取决于实现方式和部署位置。
-
选择合适的IAP解决方案需根据具体需求评估，包括对授权粒度和环境的要求。
延伸解读
身份感知代理的优势与挑战
身份感知代理（IAP）通过将认证和授权逻辑从应用中剥离，显著降低了应用的复杂性和错误率。然而，IAP的引入也可能导致请求路径上的延迟，具体延迟取决于实现方式和部署位置。用户在选择IAP时需权衡安全性与性能，确保满足业务需求。
Pomerium与Google IAP的比较
Pomerium作为开源身份感知代理，提供比Google IAP更灵活的授权策略，支持多种环境和身份提供者。相比之下，Google IAP的授权模型较为粗粒度，适合对Google Cloud有依赖的用户。选择时需考虑具体的使用场景和对授权粒度的需求。
安全风险与防范措施
IAP的配置可能导致认证逃逸风险，特别是在后端路由与IAP路径白名单不一致时。为了防止此类风险，后端应用应在缺失JWT断言时拒绝服务非公开路径，确保安全性不依赖于IAP的存在。
延伸问答
身份感知代理（IAP）是什么？
身份感知代理（IAP）是一个反向代理，负责处理用户的认证和授权逻辑，将已验证的用户身份信息传递给后端应用。
Google IAP的主要优势是什么？
Google IAP的主要优势在于它将认证逻辑从应用中剥离，减少了应用的复杂性和错误率，同时支持OAuth2认证和IAM权限检查。
Pomerium与Google IAP有什么不同？
Pomerium是一个开源的身份感知代理，提供比Google IAP更灵活的授权策略，支持多种环境和OIDC兼容的身份提供者。
oauth2-proxy适合什么场景？
oauth2-proxy适合简单的场景，如内部Wiki或Dashboard的登录控制，但不适合需要复杂授权的场景。
IAP在请求路径上会引入什么样的延迟？
IAP在请求路径上引入的延迟通常在10-20毫秒，具体取决于实现方式和部署位置。
选择合适的IAP解决方案时需要考虑哪些因素？
选择合适的IAP解决方案时需评估具体需求，包括对授权粒度、环境的要求以及是否需要多云或混合云支持。
