云安全架构设计
如下四种种云安全架构的亮点，可以帮助企业选择适合自己的云安全架构模式。
一、可信+零信任架构
“Never trust, always verify（从不信任，始终验证）”成为零信任的基本原则——从零开始建立信任，并以身份为中心实施“先认证后连接“
IT架构多样化（混合云环境+容器环境等）加上攻击手段的丰富（0day漏洞、APT攻击等），导致数据泄露、勒索病毒等攻击事件频发，而这些事件暴露了传统安全模型的不足——仅基于边界的安全防护以及静态的安全策略无法应对现代安全风险。
零信任架构是一种主动的安全战略，它能够弥补传统防护理念在防护网络攻击中的不足，近年来，零信任被广泛地应用到云安全架构中。目前来看，零信任分为三种：第一种是针对企业办公网的零信任，第二种是针对企业内网东西向横向隔离提出的零信任，第三种就是面向租户侧的零信任。
零信任网络架构的主要优势在于，它有助于为当今现代 IT 环境中的数字身份提供强大的方法。IT 安全团队不能再简单地用防火墙保护他们的网络架构。当今的复杂环境现在包括移动设备、云环境、DevOps、BYOD、IoT 设备等。零信任可以向所有身份授予详细的访问权限和权限——所有用户、所有端点设备以及所有自动化机器和应用程序进程。
未来，网络的攻防肯定会更聚焦基于零信任的攻击技术，因此，使用可信+零信任架构，可以更好地向未来布局。
二、全链路加密
如今，很多云安全厂商在深耕全链路加密的架构。什么是全链路加密?其实就是横纵两层加密方式，纵向就是TCP/IP传统的层次，另外横向的就是客户侧入->云厂商内部->客户侧出的逻辑，而为了对抗国家级的攻击，客户侧入->云厂商内部->客户侧出的逻辑就是全链路加密的。这是一种非常值得学习的架构和思路。
传输加密∶传输加密为用户访问数据提供了SSL/TLS协议来保证数据传输的安全，应用层使用HTTPS进行数据传输， SSL证书服务实现网站HTTPS化和传输加密。同时通过VPN/SAG等网关产品也提供了传输链路的加密功能。
三、数据安全体系
其实用户上云之后，如果针对自己的云资产管理的不当的话，会造成很严重的数据安全泄露风险。企业可以通过减少人访问数据的机会，利用在开发生命周期、运维生命周期中不断的增强自动化能力，有数据访问的进行审计和访问数据日志透明化给客户的方式。
存储加密∶提供云产品落盘存储加密服务，通过信封加密的机制实现数据的加密，统一使用密钥管理服务（KMS）进行密钥管理，并支持使用服务托管密钥或者用户自选密钥（包括BYOK-自带密钥）。云产品支持256位密钥的加密强度（AES256），满足敏感数据的加密存储需求。
计算加密∶为用户数据在执行态环境中提供了强大的数据加密保护能力，基于芯片提供可信，安全的执行空间，保护敏感数据（加解密密钥、账户凭证等），确保只有用户编写的授权运行在可信执行环境内的代码可以访问和操作用户关键数据。
四、云的安全纵深防御体系
纵深防御体系的第一点是规范和安全策略，定义好流程、红线、安全规范和你到底解决什么问题;第二点准入机制和统一账号身份管理：云产品接入、内部员工体系、资源的开通等要进行统一管理;第三点账号管理：针对内部账号进行详细的组织管理、分层管理等;第四点网络安全纵深，在云的边界入口处设置纵深防御隔离VPC;第五点是最终的应急响应等安全运营工作。
