科技
进入该工程域查看架构、实施与治理文档。
Engineering domains
技术主题域
从身份源、认证、授权到审计，以工程域组织架构决策和实施经验。
Latest documentation
最新文章
围绕真实系统问题，梳理可落地的身份架构、权限模型与治理路径。
精选专题 · 主策略
ABAC 属性来源不透明？补全这3步，让审计记录能真实复现决策
ABAC 属性来源不透明？补全这3步，让审计记录能真实复现决策 解决 ABAC 系统属性来源不透明问题，需强制审计记录关联实际评估的属性值及其数据源头，确保决策逻辑可复现与责任可追溯。 为什么属性来源不透明会导致决策无法复现？ 属性来源不透明导致无法还原决策时的具体数据依据，致使访问控制结果失去验证基础，最终造成合规结论不可复现且无法追责。 ABAC（基于属性的访问控制）被设计用来通过评估属性和…
RBAC、ABAC 和 ReBAC：别被“替代论”误导，看懂核心差异再选型
RBAC、ABAC 和 ReBAC：别被“替代论”误导，看懂核心差异再选型 RBAC、ABAC 与 ReBAC 分别侧重角色归类、环境属性评估和实体关系，企业应依据权限依赖的核心要素选型，而非盲目追求替代升级。 权限模型的本质：是进化还是分工？ 这三种模型并非线性进化的替代关系，而是针对授权核心要素不同的分工工具，各自解决角色、属性或关系维度的访问控制问题。 很多人习惯将 RBAC、ABAC 和…
别把“已轮换”当验收：四步实测验证旧机器凭证是否真失效
别把“已轮换”当验收：四步实测验证旧机器凭证是否真失效 测试旧机器凭证是否有效，需在撤销后分别向签发、认证、授权及缓存端发起请求，确认所有节点均返回拒绝结果以验证闭环。 把“已轮换”改写为可检验命题：为什么必须实测 必须通过实测将轮换视为可检验命题，因为仅凭配置文档无法排除缓存延迟导致的旧凭据残留风险，唯有实际拦截才能确证失效。 别把“已启用轮换”当成验收通过的终点。文档里写得再漂亮，如果没跑过…
证书轮换后旧凭据真的失效了吗？文档没写的三个关键时延
证书轮换后旧凭据真的失效了吗？文档没写的三个关键时延 证书轮换仅更新未来签发源头，并不自动令旧凭据立即失效；撤销传播时延与验证端缓存上限导致旧凭据仍可能有效。 短周期更新是否等于立即失效？主流观点的误区 短周期令牌轮换不等同于即时失效，因文档缺乏撤销传播时延及验证端缓存上限的确切证据，无法推导风险窗口被压缩的结论。 很多人默认一个逻辑：既然系统支持短周期令牌轮换，那么一旦凭据泄露，风险窗口自然被…
SPIRE Agent 私钥存在哪里？重启后旧证书为何还能用
SPIRE Agent 私钥存在哪里？重启后旧证书为何还能用 SPIRE Agent 私钥仅驻留在内存中，重启后即刻消失，迫使节点重新完成身份证明并导致旧凭据失效。 信任域模型下的密钥管理核心：KeyManager 职责拆解 KeyManager 负责在信任域内构建身份与加密密钥的桥梁，确保工作负载身份签发权限严格限定于对应 SPIFFE Bundle 范围。 SPIFFE ID 的签发权威范围…
手里攥着 ServiceAccount Token，不代表能随便删库：K8s 认证与授权是两码事
手里攥着 ServiceAccount Token，不代表能随便删库：K8s 认证与授权是两码事 Kubernetes 认证与授权分离机制指 ServiceAccount 凭据仅证明机器身份，而具体操作权限完全由 RBAC 规则独立判定，持有凭证不等于拥有全部资源访问权。 为什么持有 Token 不代表拥有全部操作权？ 持有 Token 仅代表请求者通过了身份验证被识别为合法用户，但能否执行操作…
Kubernetes 里机器账号怎么创建：为什么 Pod 不能直接用人类账户
Kubernetes 里机器账号怎么创建：为什么 Pod 不能直接用人类账户 Kubernetes 中的机器账号即 ServiceAccount，是专为应用进程设计的命名空间级身份，与面向人类操作的普通用户账户在创建方式、作用域及生命周期管理上存在本质区别。 为何不能直接用人类账户管理 Pod？ Pod 无法直接使用人类账户是因为架构强制区分人与机两类主体，通过专用 ServiceAccount…
审计日志缺这五类记录，权限阻断根本没法验证
审计日志缺这五类记录，权限阻断根本没法验证 构建可复验控制证据链必须关联五类关键记录：变更事件标识、受影响主体引用、目标资源与动作、策略版本判定及撤权后的负向探测结果。 为什么仅凭“角色存在”无法证明访问被阻断？ 仅确认角色存在无法证明访问被阻断，必须验证具体动作是否真正被拒绝，否则就像只拍钥匙在手里却未确认门锁已锁死。 很多审计工作只盯着“用户还有没有那个角色”，却忘了验证动作是否真的被拒绝。…
审计日志显示“张三”操作了接口，不代表他没越权：多跳委托里的身份与权限分离
审计日志显示“张三”操作了接口，不代表他没越权：多跳委托里的身份与权限分离 多跳委托中身份追溯仅能还原最终操作者，无法自动验证中间每一跳是否越权，揭示了行动者身份与授权约束在信任边界内的分离真相。 多跳委托中谁在真正操作？身份可查不等于授权合规 审计日志显示的身份可查不等于授权合规，因为能追踪到最终执行者并不代表中间每一跳都未越权，二者发生在不同的时间窗口和信任边界内。 审计日志里清晰地写着“张…
别再只查状态了：用“撞墙”测试证明权限真的失效
别再只查状态了：用“撞墙”测试证明权限真的失效 证明权限真正失效需从静态状态检查转向反事实动作验证，即主动尝试执行被禁操作并记录资源端的明确拒绝结果与时间戳。 为什么仅靠生命周期治理无法证明权限真的失效了 生命周期治理仅能确认流程节点完成，无法单独证实资源端已实际阻断访问，因此不能直接作为权限失效的确凿证据。 看着系统显示“用户已离职”，并不代表他手里的钥匙已经断了。美国联邦 ICAM 的《Id…
撤销权限后为什么还能访问？因为令牌没过期
撤销权限后为什么还能访问？因为令牌没过期 撤销权限后仍可访问，是因为控制平面的指令执行与资源侧的实际拦截之间存在时间窗口，导致旧令牌或缓存数据暂时有效。 为什么点击“立即撤销”后，对方依然能打开文件？ 点击立即撤销后对方仍能打开文件，是因为系统仅完成了控制平面动作，未过期的会话或令牌在时间窗口内依然被资源侧认可。 你刚刚在管理后台点击了“立即撤销”，系统也弹出了“操作成功”的提示。然而几分钟后，…
已撤销不等于没权限：用“反事实探测”还原 IAM 审计日志真相
已撤销不等于没权限：用“反事实探测”还原 IAM 审计日志真相 审计日志与有效权限验证通过关联控制平面指令与资源执行点响应，还原操作轨迹并确保证据链完整，以快速定位安全事件责任。 为什么“已撤销”不等于“没权限”：IAM 审计日志中的常见误区 已撤销权限不等于立即失效，因控制平面的去供给指令需时间同步至资源执行点，导致被移除账号仍可能短暂保留访问能力。 运维人员常有一个危险的直觉：只要在目录里禁…