作者：张文浩
阿里云在其微服务引擎（MSE）注册配置中心 Nacos 上正式推出全新“安全防护”功能模块，旨在帮助企业用户有效管理安全状态和降低开启安全相关功能的学习成本，提升微服务架构的安全性。首期推出的“安全防护”模块包含一系列核心功能，使用户能够在尽可能少的外部辅助下，快速、直观地了解并部署最佳安全实践。
在与企业用户交流过程中，我们了解到以下问题是用户在安全配置中关注的核心场景：
场景1：快速了解实例安全水位
用户往往面临如何迅速把握当前系统安全状态的挑战。时间紧迫，又需确保配置符合最佳安全实践，安全水位状态管理成为用户的迫切需求。
场景2：简便配置权限，提升安全管理效率
用户在多样化的自定义权限策略配置中常常感到复杂而困难。
场景3：避免鉴权配置错误引发业务中断
用户担忧由于客户端鉴权配置不当导致业务中断风险，而手工排查客户端配置也需消耗大量时间。
MSE Nacos 推出“安全防护”功能模块解决如上问题，可提供如下能力：
安全水位展示：即时了解安全状态
为了让用户快速了解当前的安全配置状况，MSE Nacos 安全防护模块提供了安全水位展示功能。用户可直接在 Nacos 实例的基础信息页面查看各项安全功能的开启状态。系统会突出显示尚未开启的安全功能，并提供跳转链接，帮助用户快速了解并配置认证鉴权、传输加密和存储加密等功能，从而减少大量的学习和操作时间。
一般来说，MSE Nacos 的零信任安全最佳实践包括：
- 客户端与控制台的认证鉴权：基于阿里云 RAM 体系的无访问密钥（AK）认证鉴权
- 存储安全：基于阿里云 KMS 配置加密
- 传输安全：基于 TLS 传输加密
没有安全水位透出，用户需花费大量时间学习 Nacos 安全实践，缺乏认知，难以了解当前的安全状况。安全水位功能支持实例首页展示用户当前安全功能开启状态，提升用户对安全能力的认知和管理。
安全防护-安全水位
认证鉴权模块：直观配置自定义权限策略
MSE Nacos 认证鉴权分为控制台鉴权与客户端鉴权，基于阿里云的 RAM 访问控制体系，该体系灵活性极高，支持多种自定义权限策略。然而用户在配置过程中常遇到以下问题：
- 自定义权限策略可读性差，配置难度大
- 认证鉴权能力边界难理解
- 注册鉴权与配置鉴权易混淆
为了解决这些痛点，安全防护-认证鉴权模块支持用户以白屏化方式配置自定义权限策略：
- 图形化配置：支持控制台鉴权与客户端鉴权的图形化权限策略配置并导出。
- 授权粒度选择：支持实例级、命名空间级、Group 级、服务级、配置级的授权粒度选择。
- 灵活权限配置：通过资源列表指定授权资源的读写或只读权限，支持服务与配置前缀和后缀名称匹配。
安全防护-认证鉴权-控制台鉴权
新增客户端模拟鉴权：无损流量鉴权演练
开启客户端鉴权后，Nacos 服务端会对所有不符合鉴权要求的客户端进行拦截，但贸然开启正式鉴权存在如下风险：
- 业务中断风险：由于鉴权配置的遗漏或错误导致未授权的业务客户端无法通过鉴权，可能引发业务中断和服务不可用。
- 高排查成本：用户需手动排查未配置鉴权的客户端，过程繁琐且耗时，增加运维负担。
模拟鉴权功能允许用户在不影响现有业务的情况下预先模拟鉴权操作，对所有客户端的鉴权配置进行全面检测和统计。未通过鉴权的客户端会被记录但不会实际拦截流量。通过高效安全预检，实现业务无缝过渡，充分降低配置风险。
持续优化，守护企业安全
阿里云始终致力于提升企业用户体验和安全防护能力。安全防护模块将会在安全领域持续覆盖更多的安全与易用性场景，提供更多如可观测、加密存储场景的便捷能力，为企业提供全方位的安全保障。
更多关于阿里云 MSE 的信息，请访问阿里云 MSE 官网【1】。
阿里云始终与您同在，共同守护企业数据安全。
【1】阿里云 MSE官网
https://www.aliyun.com/product/mse
点击此处查看认证鉴权_微服务引擎（MSE）-阿里云帮助中心
