ICS 35.240 CCS L67 YD 中华人民共和国通信行业标准 YD/T [×××××] —[××××] [代替YD/T] 面向云计算的零信任体系 第1部分：总体架构 Cloud computing oriented zero trust system— Part 1: Architecture [点击此处添加与国际标准一致性程度的标识 ] （报批稿） 2023.2 [××××] -[××]-[××]发布 [××××] -[××]-[××]实施 中华人民共和国工业和信息化部 发 布 YD/T ×××××—×××× I 目　　次 前　　言 ............................................................................................................................................................. II 1 范围 .................................................................................. 1 2 规范性引用文件 ........................................................................ 1 3 术语、定义和缩略语 .................................................................... 1 3.1 术语和定义 ...................................................................... 1 3.2 缩略语 .......................................................................... 2 4 零信任安全建设责任 .................................................................... 2 5 零信任安全设计原则 .................................................................... 2 6 总体架构概述 .......................................................................... 3 7 总体架构组成 .......................................................................... 3 7.1 零信任安全能力 .................................................................. 3 7.2 安全能力域 ...................................................................... 4 7.3 通用场景概述 .................................................................... 4 YD/T ×××××—×××× II 前　　言 本文件按照 GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》 的规则 起草。 YD/T ××××× —××××《面向云计算的零信任体系》分为以下六个部分： ——第1部分：总体架构 ——第2部分：关键能力要求 ——第3部分：安全访问服务边缘能力要求 ——第4部分：数据保护工具要求 ——第5部分：业务安全能力要求 ——第6部分：数字身份安全能力要求 本文件为 YD/T ××××× —××××的第 1部分。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。 本文件由中国通信标准化协会提出并归口。 本文件起草单位： 中国信息通信研究院、 腾讯云计算（北京）有限责任公司、北京天融信网络安 全技术有限公司、北京蔷薇灵动科技有限公司、深信服科技股份有限公司、 北京神州绿盟科技有限公 司、成都云山雾隐科技有限公司、北京京东尚科信息技术有限公司、华为技术有限公司、中兴通讯股 份有限公司、杭州安恒信息技术股份有限公司、中国移动通信集团有限公司、中国电信集团有限公司、 中国联合网络通信集团有限公司、网宿科技股份有限公司、新华三技术有限公司 、北京金山云网络技 术有限公司、西安邮电大学、北京西骏数据科技股份有限公司、北京神州泰岳软件股份有限公司、江 苏易安联网络技术有限公司、浪潮电子信息产业股份有限公司、曙光云计算集团有限公司 、深圳华大 生命科学研究院、北京持安科技有限公司、深圳竹云科技股份有限公司 、杭州亿格云科技有限公司、 北京芯盾时代科技有限公司 本文件主要起草人： 郭雪、吴倩琳、孔松、黄超、蔡东赟、熊瑛、王龑、刘晨、宋园园、田旭达、 王浩硕、付怀勇、郭旸、林顺东 王鑫渊、李国、李然、赵亮、林木林、吴奕鹏、秦益飞、王玮 、彭园、 曾帅、何艺、刘浩、张鹏程、蔡国瑜、张小燕、侯芳、宋桂香、刘娜、邹艳鹏、谌鹏、王拥军、 陈吴 栋、史晓婧、孙悦、李永波、许金旺、陈晓、沈舒莉 YD/T ×××××—×××× III引　　言 近年来，云计算、大数据等新一代信息技术与实体经济加速融合，为各产业提质降本增效带来活 力，产业数字化转型迎来发展浪潮。同时，数字化转型中 IT 架构的变革为企业带来新的安全需求和 挑战，传统安全建设理念和手段遭遇瓶颈，如何更有效地保障数字资产与业务的安全可信，成为企业 数字化转型中的难点。零信任、安全即服务、原生安全等新一代安全技术与业态兴起，为企业数字化 转型安全建设提供思路和手段。 《面向云计算的零信任体系》标准对满足数字化转型需求的新一代零信任安全架构进行规范，拟 由六个部分构成。 ——第1部分：总体架构。目的在于规范系列标准所涵盖的内容。 ——第2部分：关键能力要求。目的在于规范云环境下零信任产品的核心能力。 ——第3部分：安全访问服务边缘能力要求。目的在于规范 SASE场景下网络与安全的能力。 ——第4部分：数据保护工具要求。目的在于规范云环境下数据保护工具的能力要求，为基于零信 任理念进行数据最小化授权和保护提供支撑。 ——第5部分：业务安全能力要求。目的在于规范云环境下基于零信任理念的业务安全能力。 ——第6部分：数字身份安全能力要求。目的在于规范云上资源全面身份化后，其数字身份的安 全管控能力。 YD/T ×××××—×××× 1 面向云计算的零信任体系 第1部分：总体架构 1　范围 本文件规定了面向云计算的零信任体系总体架构，包括建设责任、设计原则、总体架构概述及其 组成。 本文件适用于 云服务客户基于零信任理念建设云化安全防护架构的规划与设计 。 2　规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文 件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适 用于本文件。 GB/T 29242-2012 信息安全技术 鉴别与授权安全断言标记语言 T/CESA 1165-2021 零信任系统技术规范 3　术语、定义和缩略语 3.1　术语和定义 下列术语和定义适用于本文件。 3.1.1　 访问主体 access subject 能访问客体的主动实体。 [来源：GB/T 29242-2012 ，3.7] 3.1.2　 访问客体 access object 系统中可供访问的资源。 注：资源如应用、系统、接口、服务、数据等。 3.1.3　 零信任 zero trust 一组围绕资源访问控制的安全策略、技术与过程的统称。从对访问主体的不信任开始，通过持续 的身份鉴别和监测评估、最小权限原则等，动态调整访问策略和权限，实施精细化的访问控制和安全 防护。 [来源：T/CESA 1165-2021 ，3.3] 3.1.4　 YD/T ×××××—×××× 2零信任供应方 zero trust provider 零信任安全能力的供应方。 注：本标准中零信任供应方简称供应方。 3.1.5　 零信任应用方 zero trust customer 为使用零信任安全能力同零信任供应方建立业务关系的参与方。 注：本标准中零信任应用方简称应用方。 3.1.6　 云工作负载 cloud workload 云环境中从应用程序层到管理程序或处理的自包含组件的整个应用程序堆栈。 注：自包含组件指堆栈中的虚拟机和容器 3.2　缩略语 下列缩略语适用于本文