此场景要求一个将身份视为主要边界的需求策略，同时承认遗留约束是不可改变的短期现实。该方法必须将需求分为“桥接”能力（临时互操作性）和“目标”能力（零信任最终状态）。至关重要的是，该策略必须包括过渡控制的明确结束条款，以防止临时安全债务固化为永久架构。最后，需求必须要求通过Istio指标进行遥测和可观察性，以向不能直接检查代码的审计员证明符合NIST原则。
问题描述
一家医疗支付处理商需要将其Java EE单体清算应用程序解构为Kubernetes微服务，以实现开放登记季节的可扩展性。安全团队要求严格的零信任分段，按照NIST SP 800-207的要求，每个服务之间的调用都必须使用带有SPIFFE身份的Istio mTLS。然而，遗留系统依赖于Active Directory森林信任和早于HTTP/REST的CORBA调用，而开发团队在Java EE方面拥有深厚的专业知识，但对云原生安全没有经验。更复杂的是，一个硬性的HIPAA合规验证截止日期迫在眉睫，无法因技能获取而推迟，而且在过渡过程中，业务要求保持99.99%的可用性。
解决方案1：基于身份的代理与会话复制
将Keycloak作为集中式认证代理部署，以将AD Kerberos票据转换为JWT令牌，起初看似令人心动，因为这需要对Java EE代码库进行最少更改，并利用熟悉的认证模式。优点包括无需广泛重训开发人员即可快速部署，以及过渡期的集中政策管理。然而，缺点包括在代理后创建一个高价值攻击目标的Keycloak，违反了零信任“永不信任，总是验证”原则。此外，粘性会话管理引入的状态同步复杂性威胁到在故障转移事件中保持99.99%可用性SLA，而该方法未能解决服务到服务的身份验证需求。
解决方案2：完全身份重构与蓝绿迁移
重写认证模块以使用Istio服务账户，并实施从AD到LDAP与Kubernetes集成的硬切换，立即提供纯粹的零信任架构。优点包括消除所有遗留身份债务，从生产第一天起完全符合NIST原则。然而，缺点需要八个月的专业DevSecOps工作，这在内部不可用，因此需要昂贵的承包商参与，超出了预算。此外，该方法需要身份提供者过渡的停机时间，违反了严格的业务连续性要求，并且在假日季节对关键金融交易处理带来了不可接受的回归风险。
解决方案3：边车抽象与分阶段能力构建
实施Istio边车，在外部执行mTLS终止，同时通过localhost将经过身份验证的头信息转发到遗留容器，提供了一种务实的中间路径。优点允许遗留应用程序在内部保持不变，同时在外部呈现零信任合规，允许开发人员通过配置而非编码逐渐学习OIDC/OAuth 2.0概念，并支持金丝雀部署以验证可用性而不带大刀阔斧的风险。缺点引入了临时“软信任”区域，要求增强Falco运行时监控以检测头信息伪造尝试，并需要仔细的消毒逻辑以防止过渡期间的权限提升。最终，该方法将临时架构复杂性视为对抗业务中断的风险缓解策略，并在RTM中记录了明确的结束日期。
选择的解决方案及其原因
在进行MoSCoW优先级研讨会后，我们选择了解决方案3，其中“必须有”标准明确包括零停机和保留现有开发者速度。通过将Istio视为外部安全包装，而不是要求内部重构，我们通过自动化OPA政策执行满足了CISO的NIST合规要求，同时允许运营团队通过动手边车配置来提升技能。这种方法承认，过渡安全控制可以与遗留组件共存，只要它们被明确记录为“信任例外”并具有补偿监控控制。该决定通过概念验证得到了验证，证明CORBA流量可以通过Envoy代理透明地隧道，而无需代码更改。
结果
迁移在六个月的过渡期间实现了99.995%的正常运行时间，超出了医疗支付处理的严格SLA要求。Istio遥测显示30%的遗留CORBA调用是冗余的跨服务聊天，导致意外的架构简化和延迟改进。开发团队通过实用的边车配置经验在四个月内实现了90%覆盖率的Kubernetes安全认证，而非理论培训。组织以零发现通过了HITRUST审计，与过渡架构相关，所有桥接组件均按计划退役，没有功能回归或安全事件。
在进行零信任迁移时，如何防止在维护平行身份系统的过程中出现授权逻辑漂移？
候选人通常建议更新文档或在遗留和现代团队之间进行强制同步会议，这在操作压力下不可避免地会失败。强有力的解决方案需要实施代码即政策，使用具有统一Rego政策库的Open Policy Agent (OPA)，创建一个授权决策的单一真实来源。该系统通过相同的策略逻辑评估遗留的AD组成员资格（通过外部数据包获取）和现代SPIFFE身份，确保跨身份平面的一致权限。建立一个GitOps管道，允许政策变更触发针对两条身份验证路径的自动化集成测试，确保权限漂移在几分钟内检测到，而不是几个月。关键见解是完全从应用程序代码中抽象出授权逻辑，将其视为版本控制的配置数据，保持跨遗留和现代堆栈的可审计性。
哪些指标可以确切证明零信任实施对非技术审计委员会的成功？
初级分析师通常引用加密覆盖率百分比或证书轮换频率，这些对关注业务影响的风险导向审计委员会并不起重要作用。正确的指标框架必须量化通过微分段实现的平均发现时间（MTTC）横向移动，通过定期的红队演习来衡量，模拟名称空间的损害并通过Istio网络策略跟踪隔离速度。此外，通过比较实施前后的服务可达性图表来跟踪爆炸半径缩减，明确展示了通过量化攻击面最小化的具体风险降低。最后，测量政策违规补救速度——检测到配置漂移（如过于宽松的NetworkPolicy）到通过Kubernetes操作员自动化补救之间的间隔，证明了操作成熟度。这些指标将技术控制转换为量化的业务风险降低，满足技术安全团队和关注管治的高管利益相关者的需求。
如何处理发现的无法参与动态证书轮换的遗留硬编码服务账户，而不会破坏Java EE容器管理的身份验证？
这是教科书零信任模式通常忽略的“不可变遗留”约束，其中重构身份验证模块会使关键业务逻辑不稳定。解决方案是在TCP代理模式下实施Envoy边车（而不是HTTP），以在不要求应用程序处理证书或密钥轮换的情况下，用mTLS包装遗留IIOP/T3流量。边车在外部呈现SPIFFE身份，同时通过localhost将明文转发到遗留组件，有效地在不可变代码周围创建一个“加密气泡”，满足NIST的加密要求。同时，实施HashiCorp Vault与数据库秘密引擎，以为任何新数据库连接注入动态凭证，同时将遗留服务账户视为“高风险”工作负载，受到严格的Istio授权政策和增强的Falco运行时监控。该方法承认有些组件无法更改，只能被限制，因此需求必须明确记录这些“信任例外”及补偿控制和强制的弃用时间表，以防止永久的安全债务。