---
title: "部署最佳实践"
description: "Fystack 如何通过私有网络隔离、严格的 IAM 控制和终端检测实施安全部署实践，保护生产基础设施。"
url: https://docs.fystack.io/zh/security/deployment-best-practices
last_updated: 2026-11-13
---

> ## Documentation index
> Fetch the complete documentation index at: https://docs.fystack.io/llms.txt
> Use it to discover all available pages before exploring further.

# 部署最佳实践

Fystack 实施严格的部署安全控制，以保护生产基础设施和敏感的密码学材料。本文档概述了我们的核心部署安全原则：网络隔离、访问控制和终端防护。

---

## 1. 私有网络部署与 VPN 访问

Fystack 的所有生产基础设施都部署在**私有网络**中，并强制通过 VPN 访问，确保关键服务永远不会直接暴露在公网上。

### 网络架构

| 组件 | 网络配置 |
| --- | --- |
| 应用服务器 | 部署在私有子网中，没有公网 IP 地址 |
| 数据库服务器 | 隔离在专用数据库子网中，只能从应用层访问 |
| MPC 节点 | 部署在高度受限的私有网络中，通过点对点 VPN 网状网络互联 |
| 管理员访问 | 所有管理操作和部署都必须通过 VPN |
| 公网 | 只有负载均衡器和 API 网关拥有公网 endpoint |

### VPN 访问要求

所有访问生产基础设施的人员都必须通过 VPN 进行身份验证，并遵循以下控制措施：

- **多因素认证（MFA）：** 必须使用硬件安全密钥或身份验证器应用
- **设备合规：** 仅允许启用全盘加密和终端防护的受管设备
- **IP 白名单：** VPN 访问仅限于授权的 IP 范围
- **会话监控：** 所有 VPN 会话都会被记录，并监控是否存在异常
- **自动超时：** VPN 会话在闲置 8 小时后过期
- **基于证书的认证：** 除凭证外，还必须提供客户端证书

### 网络分段

| 网络层级 | 访问控制 |
| --- | --- |
| 公共区 | 仅负载均衡器、CDN 和 DDoS 防护 |
| DMZ 区 | API 网关、反向代理、WAF |
| 应用区 | 应用服务器，仅可从 DMZ 和 VPN 访问 |
| 数据区 | 数据库，仅可从应用区访问 |
| 安全区 | MPC 节点、KMS、secret store：最高限制级别 |

---

## 2. 用于 KMS 和 Secret Manager 访问的云 IAM 角色

Fystack 使用**云 IAM 角色**对密钥管理服务（KMS）和 Secret Manager 的访问实施最小权限原则。只有必要的服务和 C 级高管才能访问关键的密码学材料。

### IAM 访问模型

| 资源 | 访问人员 | 权限级别 |
| --- | --- | --- |
| KMS 主密钥 | 仅 CEO、CTO | 完全访问（加密、解密、管理） |
| Secret Manager | 仅 CEO、CTO | 完全访问（读取、写入、删除） |
| 应用服务 | API 服务、MPC 节点（通过服务账号） | 对特定 secret 的只读访问 |
| 开发人员 | 无访问权限 | 对生产环境 KMS 或 secret 没有任何权限 |
| DevOps 团队 | 无直接访问权限 | 可以部署，但无法读取 secret 的值 |

### 服务账号限制

应用服务通过权限范围严格受限的**服务账号**访问 KMS 和 Secret Manager：

- **服务专用账号：** 每个服务都有自己专用的服务账号
- **最小权限：** 仅授予特定操作所需的权限
- **Secret 级访问控制：** 按单个 secret 授予访问权限，而不是整个 secret store
- **有时效的凭证：** 服务账号 token 会自动过期和轮换
- **审计日志：** 所有 KMS 和 Secret Manager 访问都会记录到不可篡改的审计记录中

### 访问控制策略

**KMS 访问策略示例：**

- CEO 和 CTO 可以管理 KMS 密钥并查看审计日志
- 应用服务账号只能使用特定密钥进行加密/解密
- 所有密钥使用都会连同调用方身份和时间戳一起记录
- 删除密钥需要 CEO 和 CTO 双重授权
- 密钥轮换自动执行并受到监控

**Secret Manager 访问策略示例：**

- CEO 和 CTO 可以创建、读取、更新和删除 secret
- 应用服务只能读取分配给它们的 secret
- Secret 访问会连同服务身份和 IP 地址一起记录
- Secret 版本不可变，并会保留以供审计
- Secret 轮换会自动触发服务更新

---

## 3. 终端检测与响应（EDR）

Fystack 以 sidecar 形式部署 **CrowdStrike** 或 **Bitdefender** 等 **终端检测与响应（EDR）** 解决方案，用于检测和阻止针对所有生产系统的渗透尝试。

### EDR 部署架构

| 组件 | EDR 防护 |
| --- | --- |
| 容器 Sidecar | EDR agent 以 sidecar 容器的形式部署在每个 pod 中 |
| 进程监控 | 实时监控所有进程执行和系统调用 |
| 网络流量 | 检查入站和出站网络连接 |
| 文件完整性 | 检测未经授权的文件修改 |
| 内存扫描 | 检测驻留内存的恶意软件和代码注入 |

### EDR 能力

**威胁检测：**

- **行为分析：** 识别异常的进程行为和权限提升
- **基于特征的检测：** 拦截已知的恶意软件和漏洞利用
- **机器学习：** 检测零日威胁和高级持续性威胁（APT）
- **横向移动检测：** 识别跨系统的未经授权访问尝试
- **勒索软件防护：** 检测并阻止文件加密行为

**响应措施：**

- **自动遏制：** 将受感染的容器与网络隔离
- **进程终止：** 自动终止恶意进程
- **取证采集：** 保留内存和磁盘状态以供调查
- **告警升级：** 立即通知安全团队
- **回滚能力：** 从已知良好的容器镜像恢复

### EDR 监控与告警

| 告警类型 | 响应措施 |
| --- | --- |
| 检测到严重威胁 | 自动隔离容器，并立即通知安全团队 |
| 可疑进程执行 | 终止进程，并向安全运营中心发送告警 |
| 未经授权的网络连接 | 阻断连接，并记录网络流量以供分析 |
| 文件完整性受损 | 从已校验的镜像重新部署容器，并记录事件 |
| 检测到内存注入 | 终止进程，捕获内存转储，并通知 CEO/CTO |

### EDR 集成

- **SIEM 集成：** EDR 事件会转发到安全信息与事件管理系统
- **事件响应手册：** 针对常见威胁场景的自动化响应流程
- **威胁情报源：** 实时更新新出现的威胁和入侵指标
- **合规报告：** 为安全审计自动生成合规报告
- **取证分析：** 为事后调查提供详细的遥测数据

---

## 4. 总结

Fystack 的部署安全策略建立在三大基本支柱之上：

1. **私有网络隔离与 VPN 访问**确保关键基础设施永远不会直接暴露在互联网上
2. **严格的 IAM 控制**将 KMS 和 Secret Manager 的访问权限仅限于 CEO 和 CTO，服务账号权限保持最小化
3. **EDR sidecar 部署**为所有生产系统提供实时威胁检测和自动化响应

这些控制措施协同作用，构建起纵深防御的安全体系，保护加密密钥、敏感数据和生产基础设施免受外部和内部威胁。