零信任

Google在十年前提出了一套名为BeyondCorp的零信任网络安全方案。这套方案想要完整地实现还是有一定门槛的。在这种模型下，企业内网不再作为一个安全边界存在；相反，即使在内网进行的访问，也必须进行与外网同样的鉴权与访问控制。最终的改造方向是内网不再是一个特权网络，每个终端上部署的客户端证书主要是作为一项身份信息来使用。

在BeyondCorp方案中，对用户比较可见的一项便是统一登录认证（SSO）和基于用户身份进行访问控制的反向代理。之前考虑过许多其他方案，包括使用nginx自己山寨一套，不过后来听@yegle同学的建议，直接用Pomerium来实现了一套鉴权反向代理，这里把大致过程记录一下。