知识卡片
纵深防御限制爆炸半径
内容
纵深防御用多层独立机制降低单点失守的后果；独立故障域则把凭证、权限或资源的有效范围切开，阻止攻击和故障横向扩散。两者共同目标是限制爆炸半径，而非假定系统永远不会失效。发散：分区只有在凭证和管理路径也受边界约束时，才是真正的隔离。
参考来源
- 位置：《Google系统架构解密：构建安全可靠的系统》第1章《安全性与可靠性的交集》（源文件：`../OREILY动物书合辑 图灵新版/_epub-src/text/part0014_split_027.html`）
- 结论依据：原文定义纵深防御和独立故障域，并以按地理区域限制凭证可用范围说明它们如何限制攻击者横向移动。
- 原始内容：纵深防御是多种防御机制的集合。独立故障域限制了故障的“爆炸半径”。可以通过划分权限或者限制凭证的可用范围来实现不同的故障域，从而限制攻击者向其他区域服务器横向移动。