微隔离通过以服务器/容器为单元、默认拒绝、基于身份与上下文的细粒度策略，替代“内网可信”假设，结合网络分段与自动化策略管理实现动态信任控制。
服务器节点间的信任关系不能默认存在，必须通过明确的策略主动建立和约束。所谓“隔离信任”，本质是取消隐式信任，把每一次访问都当作需验证、需授权、需审计的独立事件。
用微隔离替代“内网即可信”假设
传统架构常把内网视为安全边界，但75%以上的数据中心流量是东西向（服务器间）流量，攻击者一旦突破边界，就能自由横向移动。微隔离正是为解决这个问题而设计：它不依赖网络位置，而是以每个服务器（或容器、虚拟机）为最小控制单元，按业务逻辑划分成细粒度节点，节点之间默认拒绝通信，仅在策略明确允许时才放行。
实施要点：
- 部署轻量级 agent 或内核级策略执行器，无需改动应用，也不依赖物理拓扑
- 策略基于身份（如服务名、标签、证书）、行为（如调用API类型、数据流向）动态生成，而非静态IP或端口
- 控制中心持续学习正常流量模式，自动识别异常连接并建议或阻断，避免策略僵化
基于角色与上下文的访问控制
单纯靠IP白名单或防火墙规则无法应对动态环境。信任关系应绑定到具体实体及其运行上下文：谁在访问（服务身份）、从哪来（来源节点标签）、访问什么（目标资源标识）、为什么访问（调用链路或业务场景）。
例如，一个订单服务只能调用支付服务的 /v1/charge 接口，且仅限在交易流程中发起；它无权访问支付服务的管理接口或数据库直连端口。这种控制需在服务网格层（如Istio Sidecar）或主机防火墙层（如eBPF策略）实现。
关键配置项：
- 服务身份认证：使用mTLS双向证书验证调用方和服务端身份
- 细粒度RBAC：权限定义到API路径、HTTP方法、甚至请求头中的特定字段
- 上下文感知：结合时间、地理位置（如仅允许从生产子网发起）、调用链追踪ID等附加条件
网络分段与边界策略协同落地
微隔离不是孤立技术，需与网络层分段配合。比如将数据库节点全部置于专用子网，并在该子网入口部署状态化防火墙，只放行来自应用服务子网的、经微隔离策略校验后的加密流量；同时禁止该子网主动外连，切断反向渗透路径。
典型组合策略：
- DMZ区仅开放Web前端所需端口，其后端调用内部API网关，网关再根据服务身份转发至对应后端子网
- 开发测试环境与生产环境物理或逻辑完全分离，跨环境调用必须经API网关+严格鉴权，禁止直连
- 处理PCI-DSS或HIPAA数据的服务单独成区，所有进出流量强制TLS加密+DLP内容检测
自动化策略生命周期管理
信任策略不是一次性配置，而是随业务演进持续更新。每次服务上线、接口变更、权限调整，都应触发策略同步：开发提交服务声明（如OpenAPI文档、K8s ServiceAccount绑定），CI/CD流水线自动生成并验证对应微隔离策略，再推送到执行节点。
运维人员可通过可视化拓扑图实时查看节点间实际通信路径，对比策略预期，快速发现策略缺失、过度授权或僵尸连接。审计日志需记录每次策略变更的操作人、时间、变更内容及生效结果。
不复杂但容易忽略
