云治理大统一理论

在过去十多年帮助各类组织构建云安全计划的过程中，我学到的最艰难的一课是：真正的挑战在于治理，而非技术。诚然，云是一只充满无形技术利刃的黑箱，但只要投入一些时间和精力，这些都是可控的。真正的痛点不在于弄清楚технологии——不在于弄清楚技术本身，而在于弄清楚究竟该如何治理这些技术。

因为最快通向失败的途径，就是把云治理当作非云 IT 治理来对待。

忽视云、任其野蛮生长的组织最终总会陷入困境；而试图强行套用既有治理体系的组织，最终只会遇到……另一类麻烦。

作为研究员和顾问，我的一项优势是能够深入观察各类组织应对这些问题的内部情况，成功与失败的案例我都见过。随着时间推移，规律逐渐显现。而在治理方面，我看到有若干条线索似乎能够将这一切串联起来。我称之为云治理大统一理论：

• 云没有咽喉要道，因此也没有守门人。
• 所有管理与运维功能都统一到一个位于互联网上的用户界面中。
  • 其保护措施只有用户名、密码，也许还有 MFA。
• 技术的演进速度快于治理。

我认为这概括了云计算在治理方面的根本挑战，但还可以进一步展开：

• 既有的 IT 治理是在物理设施环境中工作所导致的稀缺性的自然产物。我们逐步发展出不同的团队，分别管理网络、服务器以及安全各个层面等彼此分散且复杂的技术。
  • 数据中心的物理限制和稀缺资源，迫使业务部门和应用/开发团队必须与网络等平台所有方协作才能获得资源。
  • 我们的许多治理流程都依赖于这种天然的稀缺性和平台归属关系。普通开发人员无法自行配置一个公网 IP 地址，因为他们对网络没有任何管理权限。
• 云计算消除了稀缺性、边界和守门人。 一整个 B 类网络，只需一张信用卡和几次 API 调用即可获得。云服务商还利用自动化简化了基础设施管理的诸多方面（至少在表面上如此）。
  • 云计算的许多优势，正是消除资源稀缺性、守门人和手动配置的直接结果。自动化、基础设施即代码、CI/CD 带来了巨大的运营优势，但与以稀缺性和守门人为驱动的既有治理体系存在根本性的不兼容。
• 然而，云将所有管理控制统一到了单一的控制台/门户。
  • 而该门户面向互联网，仅由用户名和密码保护。
• 因此，云打破了既有的治理模型，迫使组织采用更加分布式的治理方式，并将资源转向以身份为中心的 控制
• 这是一个痛苦的转变，因为采用云技术远比改变技术治理模型更快、更容易。

正是这种分散化管理与集中化风险之间的根本冲突，加之其飞速的变化节奏，给治理和安全带来了最大的挑战。最成功的企业治理实践，都接受了云环境与非云环境需要不同治理落地方式这一事实，而不是试图在两个截然不同的生态系统中强推同一套实施方案。二者并行运行、在顶层统一，但每个环境都依据其独特特征，采用最适合自身的模型进行治理。

在后续文章中，我会介绍我所见过的一些最佳云治理方式；不过，由于我极其反感只提出问题却不给出答案的文章，这里先给出几点高层次的要点：

• 集中管理标准、可见性和监控，但通过 ChatOps 等工具分散运维。
• 在开发环节提供无摩擦的灵活性，在生产环节实行严格管理，并借助 CI/CD 和基础设施即代码等工具确保一致性与可审计性。
• 对关键/受监管数据的访问设置守门机制，以收窄需要重点关注的范围。
• 优先管理 IAM 边界，而非网络边界。