提升云韧性的安全应用架构原则

“随着越来越多的应用迁移到云端，安全的应用架构比以往任何时候都更加重要。了解三项云架构原则，帮助增强环境中的云安全韧性。”

安全的云架构：打造韧性应用的基础

企业将应用迁移到云端有很多充分的理由，包括节省成本、加快部署、提高韧性和增强弹性。基于这些优势，各地企业纷纷采用多云部署，以满足其应用组合中数量众多、类型各异的应用需求。这些应用通常涵盖各类传统应用（MS Exchange、SAP等）以及内部定制应用。

在云中部署应用时，需要考虑许多重要因素，其中尤为重要的是安全性和灵活性。事实证明，这两项因素密切相关。保护Web应用的能力，尤其是在应用分散于多个云位置时，可以而且应该从一开始就融入架构。这样可以确保所有应用采用一致的安全策略，并有助于让用户（员工、合作伙伴、客户或以上所有群体）获得顺畅无阻的体验。这种一致性还能带来一定程度的运营灵活性和韧性，从而更轻松地快速应对意外挑战，或及时调整方向以把握新机遇。

云架构原则

As John Wagnon points out in a recent Lightboard Lesson, cloud users need to know where their responsibilities actually reside. “Generally, the cloud operator is responsible for security of the cloud, and the user is responsible for security in the cloud,” he says. Unfortunately, this conceptualization leaves a lot of security concerns unaddressed. To keep your apps secure, you will need to fill in these gaps.

“在制定计划以确保贵组织的应用安全且具有韧性时，应优先考虑三项能力：一致性、控制力和敏捷性。”

在制定计划以确保组织的应用安全且具有韧性时，应重点关注三项能力：一致性、控制力和敏捷性。我们建议的方法类似于机场安检。旅客无需接受各航空公司单独实施的安检，而是在统一的安检点接受检查，通过后再前往登机口。同样，安全的云架构可以先让所有流量通过统一的安全虚拟私有云（VPC），然后再允许其访问特定应用。正如登机口工作人员可以在登机前重新分配座位并查验旅客的机票一样，每个应用也可以获得额外的安全功能和能力。

在此类场景中，安全VPC可负责提供多项关键且通常需要大量资源的功能，包括负载均衡、WAF（及其他防火墙）、访问管理、凭据加密、SSL检查、DDoS和机器人防护、API管理、性能管理等。

Security VPC中的服务可以轻松地相互通信，从而带来更多优势。例如，当WAF拦截攻击时，可以通知访问控制服务，使其也阻止该攻击者。

Security VPC中的所有组件均可相互通信，从而实现有效的多供应商检查，并帮助部署McAfee、FireEye、Palo Alto Networks等检查工具的组织减少流程阻碍和冗余。为进行SSL检查而解密的流量可传递给检查工具做进一步检查。与要求每个工具分别对同一流量进行解密、检查和重新加密相比，这种方式效率更高。

“Security VPC可以承担许多关键功能，而这些功能通常需要占用大量资源。”

这种构建安全云架构的方法可为应用开发人员提供高度的敏捷性和可扩展性，并有助于减少协作障碍，改善跨团队协作。基准标准部署在Security VPC中，通常只需少量更新。开发人员可根据需要在应用层增强安全性，并依靠Security VPC提供基础安全能力。同样，网络管理员可为每个环境（开发、测试、生产）定义安全服务。如果开发人员启动的应用没有预定义的安全能力，该应用将获得VPC层面定义的基本防护。

整合所有要素

将应用从代码交付到客户手中的过程依然十分复杂。您可以采取一些措施来简化这一过程，同时确保所有环境和多云架构中的安全。首先，为所有应用流量建立统一的入口点，并通过该入口提供基准级别的安全防护和流量管理。在此基础上，可以灵活地在应用层定义其他安全服务。这种双阶段方法可提供可靠的安全防护，同时保持一致性、可控性和敏捷性。