作者：張文浩

阿里云在其微服務引擎（MSE）注冊配置中心 Nacos 上正式推出全新“安全防護”功能模塊，旨在幫助企業用戶有效管理安全狀態和降低開啟安全相關功能的學習成本，提升微服務架構的安全性。首期推出的“安全防護”模塊包含一系列核心功能，使用戶能夠在盡可能少的外部輔助下，快速、直觀地了解并部署最佳安全實踐。

在與企業用戶交流過程中，我們了解到以下問題是用戶在安全配置中關注的核心場景：

場景1：快速了解實例安全水位

用戶往往面臨如何迅速把握當前系統安全狀態的挑戰。時間緊迫，又需確保配置符合最佳安全實踐，安全水位狀態管理成為用戶的迫切需求。

場景2：簡便配置權限，提升安全管理效率

用戶在多樣化的自定義權限策略配置中常常感到復雜而困難。

場景3：避免鑒權配置錯誤引發業務中斷

用戶擔憂由于客戶端鑒權配置不當導致業務中斷風險，而手工排查客戶端配置也需消耗大量時間。

MSE Nacos 推出“安全防護”功能模塊解決如上問題，可提供如下能力：

安全水位展示：即時了解安全狀態

為了讓用戶快速了解當前的安全配置狀況，MSE Nacos 安全防護模塊提供了安全水位展示功能。用戶可直接在 Nacos 實例的基礎信息頁面查看各項安全功能的開啟狀態。系統會突出顯示尚未開啟的安全功能，并提供跳轉鏈接，幫助用戶快速了解并配置認證鑒權、傳輸加密和存儲加密等功能，從而減少大量的學習和操作時間。

一般來說，MSE Nacos 的零信任安全最佳實踐包括：

• 客戶端與控制臺的認證鑒權： 基于阿里云 RAM 體系的無訪問密鑰（AK）認證鑒權
• 存儲安全： 基于阿里云 KMS 配置加密
• 傳輸安全： 基于 TLS 傳輸加密

沒有安全水位透出，用戶需花費大量時間學習 Nacos 安全實踐，缺乏認知，難以了解當前的安全狀況。安全水位功能支持實例首頁展示用戶當前安全功能開啟狀態，提升用戶對安全能力的認知和管理。

安全防護-安全水位

認證鑒權模塊：直觀配置自定義權限策略

MSE Nacos 認證鑒權分為控制臺鑒權與客戶端鑒權，基于阿里云的 RAM 訪問控制體系，該體系靈活性極高，支持多種自定義權限策略。然而用戶在配置過程中常遇到以下問題：

• 自定義權限策略可讀性差，配置難度大
• 認證鑒權能力邊界難理解
• 注冊鑒權與配置鑒權易混淆

為了解決這些痛點，安全防護-認證鑒權模塊支持用戶以白屏化方式配置自定義權限策略：

• 圖形化配置： 支持控制臺鑒權與客戶端鑒權的圖形化權限策略配置并導出。
• 授權粒度選擇： 支持實例級、命名空間級、Group 級、服務級、配置級的授權粒度選擇。
• 靈活權限配置： 通過資源列表指定授權資源的讀寫或只讀權限，支持服務與配置前綴和后綴名稱匹配。

安全防護-認證鑒權-控制臺鑒權

新增客戶端模擬鑒權：無損流量鑒權演練

開啟客戶端鑒權后，Nacos 服務端會對所有不符合鑒權要求的客戶端進行攔截，但貿然開啟正式鑒權存在如下風險：

• 業務中斷風險： 由于鑒權配置的遺漏或錯誤導致未授權的業務客戶端無法通過鑒權，可能引發業務中斷和服務不可用。
• 高排查成本： 用戶需手動排查未配置鑒權的客戶端，過程繁瑣且耗時，增加運維負擔。

模擬鑒權功能允許用戶在不影響現有業務的情況下預先模擬鑒權操作，對所有客戶端的鑒權配置進行全面檢測和統計。未通過鑒權的客戶端會被記錄但不會實際攔截流量。通過高效安全預檢，實現業務無縫過渡，充分降低配置風險。

持續優化，守護企業安全

阿里云始終致力于提升企業用戶體驗和安全防護能力。安全防護模塊將會在安全領域持續覆蓋更多的安全與易用性場景，提供更多如可觀測、加密存儲場景的便捷能力，為企業提供全方位的安全保障。

更多關于阿里云 MSE 的信息，請訪問阿里云 MSE 官網【1】。

阿里云始終與您同在，共同守護企業數據安全。

【1】阿里云 MSE官網

https://www.aliyun.com/product/mse

點擊此處查看認證鑒權_微服務引擎（MSE）-阿里云幫助中心