【零信任安全架构】零信任迁移的工程策略：棕地改造、遗留系统适配与渐进式切流
内容提要
新组织可以直接构建零信任架构，而历史组织需要处理遗留系统的迁移。迁移策略包括侧车代理、反向代理、身份桥接和协议适配器。切流应逐步进行，关注用户群、地理位置和应用类型。迁移需要多个团队协作，特别是应用团队需理解mTLS和身份模型，以确保成功实施。
关键要点
-
新成立的组织可以从头搭建零信任架构，而历史组织面临棕地迁移，需处理遗留系统。
-
棕地迁移的冰山模型显示，安全团队只看到可见部分，隐藏部分包括不支持TLS的服务和跨团队协调的需求。
-
遗留系统的升级策略包括侧车代理、反向代理、身份桥接和协议适配器，适用于不同场景。
-
切流应逐步进行，按用户群、地理位置、应用类型和设备类型推进，而非一次性切换。
-
迁移需要多个团队协作，特别是应用团队需理解mTLS和身份模型，以确保成功实施。
延伸解读
棕地迁移的挑战与策略
历史组织在进行零信任迁移时，面临的棕地迁移挑战不仅包括技术上的遗留系统，还涉及跨团队的协调与沟通。安全团队往往只关注可见的技术部署，而忽视了隐藏的复杂性，如不支持TLS的服务和不同部门的身份管理。有效的迁移策略需要全面评估这些隐性问题，确保各团队之间的协作顺畅。
渐进式切流的重要性
在零信任迁移过程中，逐步切流是关键策略。通过按用户群、地理位置和应用类型分阶段推进，可以降低风险并确保系统稳定性。监控数据应作为切流的依据，确保每个阶段的流量已成功转移到新路径，避免因一次性切换导致的系统崩溃或用户不适应。
人力成本的低估
迁移到零信任架构的过程中，应用团队的理解和适应能力是成功的关键。然而，许多组织低估了这一过程所需的人力成本。安全团队需要提供具体的指导，而不仅仅是文档，以帮助应用团队顺利完成mTLS配置和身份模型的理解。
延伸问答
什么是零信任架构的棕地迁移？
棕地迁移是指历史组织在迁移到零信任架构时，需要处理大量遗留系统的挑战，包括不支持mTLS的服务和跨团队协调的需求。
有哪些策略可以用于升级遗留系统？
升级遗留系统的策略包括侧车代理、反向代理、身份桥接和协议适配器，适用于不同的场景和需求。
如何逐步切流到零信任架构？
切流应按用户群、地理位置、应用类型和设备类型逐步推进，而不是一次性切换，以确保平稳过渡。
迁移到零信任架构需要哪些团队的协作？
迁移需要多个团队的协作，包括应用团队、IT团队、运维团队和安全团队，以确保各方面的需求得到满足。
切流的推进条件是什么？
切流的推进条件是监控数据显示上一阶段的流量绝大多数已通过新路径，而不是单纯依赖时间。
零信任迁移中最被低估的成本是什么？
零信任迁移中最被低估的成本是应用团队理解mTLS和身份模型所需的时间，而非许可证费用。
