知识卡片
Breakglass把绕过策略正式化
内容
Breakglass是一种允许工程师绕过既定访问策略、快速解决停机的正式机制，而非放任工程师私下想办法绕开限制。Google的零接触生产（ZTP）要求变更要么自动化执行，要么经预先验证，要么通过经审查的Breakglass触发；服务器也只允许经由代理操作，拒绝Breakglass之外的任何直连。发散：把”绕过”设计成被限定触发条件的正式通道，比放任工程师各自发明绕过办法更安全——后者才是真正的漏洞来源。
参考来源
- 位置：《Google系统架构解密：构建安全可靠的系统》第3章《示例分析：安全代理》3.1节（源文件：`../OREILY动物书合辑 图灵新版/_epub-src/text/part0014_split_037.html`）
- 结论依据：原文脚注给出Breakglass的定义（允许工程师绕过策略以快速解决停机），并说明ZTP要求变更必须自动化、预验证或经审查的Breakglass触发；同段还说明服务器只允许通过代理操作、拒绝Breakglass之外的任何直连，说明Breakglass是被正式限定和保留的绕过通道。
- 原始内容：Breakglass机制是一种允许工程师绕过策略去快速解决停机的机制……零接触生产（Zero Touch Production, ZTP）要求生产中的每个更改都必须自动化（而非通过人工）进行，由软件预先验证，或者用经过审查的Breakglass机制触发。