微服务安全挑战
微服务架构将单体应用拆分为数十甚至上百个独立服务，服务间通信量暴增。传统的边界防护（防火墙）无法保护内部通信，需要采用零信任安全模型。
零信任架构核心原则
永不信任，始终验证
每次服务间调用都需要认证和授权，不因为是内部网络就放松验证。使用mTLS（双向TLS）确保通信双方的身份。
最小权限
每个服务只拥有完成其功能所需的最小权限。使用RBAC或ABAC控制服务间的访问权限矩阵。
Service Mesh安全
Istio安全特性
- 自动mTLS：Sidecar代理自动为所有服务间通信启用双向TLS
- 授权策略：声明式定义哪些服务可以访问哪些端点
- JWT验证：在网格入口验证外部请求的JWT令牌
- 审计日志：记录所有服务间通信的详细信息
Linkerd
轻量级Service Mesh，自动mTLS零配置开启。资源消耗比Istio低50%，适合中小规模集群。安全功能聚焦于通信加密和身份验证。
API Gateway + Service Mesh 协同
API Gateway处理南北向流量（外部到内部），Service Mesh处理东西向流量（内部服务间）。Gateway负责认证、限流、协议转换；Mesh负责mTLS、服务发现、故障注入。
Secret管理
使用HashiCorp Vault或AWS Secrets Manager集中管理所有服务的密钥、证书和配置。支持动态密钥（数据库密码定期轮换）、密钥租约（自动过期）和审计日志。
安全监控
分布式追踪（Jaeger/Zipkin）定位异常调用链。服务间流量可视化（Kiali）发现异常通信模式。安全事件聚合到SIEM平台（Splunk/ELK）进行关联分析。