第4章 平台与基础设施安全

第 4 章 · 平台与基础设施安全

章节摘要：平台层是所有上层防线的地基：隔离失效则一切归零，网络失守则横移无阻，身份沦陷则满盘皆输。本章按"底座—通道—身份"的顺序走三场推演，外加一场多云时代的选型推演。读完本章，你应当能设计一套隔离清晰、分段合理、身份收紧的云上基础设施，并在多云与混合云的架构决策里说出理由与代价。

学习目标

读完本章，你应当能够：

1. 解释虚拟化与容器两种隔离模型的差异，说明各自适用的风险承受度。
2. 建立容器安全的三道检查：镜像、运行时、编排权限。
3. 用分段思维设计虚拟网络，区分有状态与无状态两类网络控制的分工。
4. 识别一张网络架构图里的横移通道并给出收窄方案。
5. 设计一套含角色映射、MFA 与临时凭据的身份体系，并用策略语言表达最小权限。
6. 面对多云或混合云需求，列出收益、代价与安全治理的额外账单。

核心概念速览

本章四节是一条"从下往上"的防线链：虚拟化隔离决定底座的爆炸半径，网络分段决定攻击者的移动路径，身份治理决定谁能推门，多云选型决定这几道防线的副本数量。

金句：底座决定爆炸半径，网络决定攻击路径，身份决定攻击成本——三层都松的系统，加密只是最后的体面。

子章节导航

• 4.1 虚拟化与容器安全：从隔离这个底座命题讲起，对比虚拟机与容器的隔离强度，给出容器从镜像到运行时的三道检查。
• 4.2 云网络安全：从一张扁平网络酿成的横移事故讲起，讲分段设计、两类网络控制的分工与出口审计。
• 4.3 身份与访问管理：身份是新边界，讲角色映射、策略语言、MFA 与临时凭据，把最小权限从口号变成策略代码。
• 4.4 多云混部对比与选型：多云与混合云的收益、代价与安全账单，给一套选型推演框架与决策依据。

子章节之间的逻辑关系

四节的依赖是单向递进的：隔离模型决定网络分段的粒度（容器密度越高越需要微分段），网络分段决定身份策略的落点（段间访问靠身份与策略双重把关），而三层叠加后的复杂度正是 4.4 选型推演时必须计入的成本——多云不是多买一份保险，是把隔离、网络、身份三套治理复制 N 份再互相打通。

4.1 隔离底座        4.2 网络通道        4.3 身份中枢        4.4 多云选型
 ┌────────────┐     ┌────────────┐     ┌────────────┐     ┌────────────┐
 │ 爆炸半径多小 │ --> │ 横移通道多窄 │ --> │ 推门成本多高 │ --> │ 复制几套划算 │
 └────────────┘     └────────────┘     └────────────┘     └────────────┘
​

前置知识与后续延伸

前置：第一章的共享责任与攻击面、第二章的计算与网络组件点检表。本章不要求内核级知识，但容器与网络的实操经验会大幅降低阅读成本。

延伸：身份一节是第五章应用安全的前置（应用身份、服务间认证都在其上），也是第六章运营域的伏笔（身份异常是告警富矿）；4.4 的选型框架在第八章生态域会扩展成完整的服务商评估方法论。考试场景题里，平台域的题最爱考"责任归属 + 最小权限"的组合判断。

高频疑问与易错点

问：平台域与数据域、应用域的分工怎么记？ 记一句话：数据域管"东西"，应用域管"门"，平台域管"墙和锁芯"。数据是保护的标的，应用是业务入口，平台是承载一切的地基与通道。域间考题常给一个跨域场景（如函数读取加密数据失败），答题时先分清故障发生在哪一域的责任侧，再选动作。

问：网络分段做到多细才算够？ 细到"异常路径能被规则拦住并留下日志"为止。分段不是越细越好——粒度超过运维理解能力后，规则会被"批量放行"稀释回扁平网络。实务的平衡点是按数据分级（第三章）划区、区内按服务分组，段间默认拒绝：大多数组织分到这个粒度已经能拦下绝大多数横移。

易错点：把平台域当成"厂商的域"。 考试最爱的陷阱就是把客户责任包装成厂商术语——"底层加密了""平台很安全所以不用配安全组"。每遇到平台能力，先过一遍共享责任模型的翻译：能力是厂商的，启用与配置是我的，验证是我的问责义务。本章四个推演（隔离选档、分段开门、认证链条、多云记账）共享同一个口诀：能力在厂商，配置在客户，问责永远在签字的人。