徐皞

几乎每个企业的数据中心都有大量的防火墙设备，但谷歌的数据中心例外。谷歌到底是如何摆脱传统的防火墙，同时确保数据中心应用的访问控制呢？

来自技术层面的答案是：谷歌将访问控制、认证和授权放在应用层实现，而不是在传统的网络层实现。谷歌的方法使得访问控制不可改变、便携和易于扩展。

尽管有好处，但到底是在应用层还是网络层进行安全控制的争论由来已久。从历史上看，企业数据中心选择了“后思考”的网络层安全模型，因为该模型很适合传统环境：大多数数据中心都在运行标准套装软件，工作负载信任它们的内部网络，并且职责分离。

总之，过去以应用层为中心的模型并不适合企业。但许多情况正在发生改变，导致云原生应用浪潮，改变企业数据中心负载的安全控制方法：

1.企业定制软件将主宰未来数据中心：传统上，企业数据中心部署了大量的套装软件，企业保护这类软件的可行方法是从套装软件外面进行保护。但企业正将传统的套装软件转为SaaS（软件即服务）的消费模式，所以套装软件安全不再是一个内部要求。相反，企业将主要依靠内部开发的定制软件来展现他们的业务价值。对于内部定制的应用，嵌入应用层的安全控制将更为高效，因为企业本身就拥有应用的代码和设计；

2.内部安全和边界安全的重要性趋于一致：传统的企业工作负载通常对内部网络有相当程度的信任，不太需要对每个单一的工作负载都进行访问控制，所以传统的分区或微分区技术，很好地满足了这种用途。……