Egzekwowanie może działać w agentach hostów, hipernadzorcach, wirtualnych przełącznikach, kontrolach chmurowych, bramach obciążeń lub innych punktach blisko chronionych zasobów, podczas gdy polityka i telemetria mogą być zarządzane przez wspólną płaszczyznę sterowania.
Taki projekt może kontrolować ruch, który nigdy nie przekracza tradycyjnego perymetru, w tym komunikację między obciążeniami na tym samym hoście lub w tej samej sieci chmurowej. Polityka może używać atrybutów sieciowych, tożsamości obciążenia lub usługi, znaczników i kontekstu platformy. Implementacje różnią się tym, czy sterowanie jest scentralizowane, jak kompilowane są reguły i które punkty egzekwowania pozostają autorytatywne podczas rozłączenia.
Najważniejsze punkty
Projekt pokryciaMapuj obciążenia i ścieżki komunikacji na punkty egzekwowania, uwzględniaj zasoby tymczasowe i niezarządzane oraz identyfikuj ścieżki omijające agenty, nakładki (overlays) lub kontrole wirtualnego przełączania.
Cykl życia politykiUżywaj spójnych danych o tożsamościach i zasobach, wdrażaj zmiany etapami, wykrywaj konflikty, weryfikuj propagację, usuwaj nieaktualne reguły i uzgadniaj zachowanie specyficzne dla platformy z zamierzoną polityką.
Odporność i pewnośćChroń płaszczyznę sterowania i poświadczenia, definiuj zachowanie fail-open lub fail-closed, monitoruj kondycję egzekwowania, zachowuj lokalne działanie tam, gdzie wymagane, i testuj odbudowę po częściowym wdrożeniu.
Istotne ograniczenieRozproszenie nie gwarantuje jednolitego egzekwowania ani minimalnych uprawnień. Brakujące agenty, nieaktualna polityka, niespójne etykiety, skompromitowane zarządzanie, nieobsługiwany ruch lub nakładające się reguły chmurowe i sieciowe mogą tworzyć luki, których centralny widok polityki nie ujawnia.