BeyondCorp

）安全识别设备

BeyondCorp 使用了“受控设备”的概念——由企业采购并管理可控的设备，只有受控设备才能访问企业应用。此外，所有受控设备都需要一个唯一标识，此标识同时可作为设备清单数据库中对应记录的索引值。实现方法之一是为每台设备签发特定的设备证书。

2）安全识别用户

BeyondCorp跟踪和管理用户数据库和用户群组数据库中的所有用户，用户/群组数据系统与谷歌的HR流程紧密集成。使用SSO单点登录,在经过用户/群组合法性验证后，生成短时令牌(short-lived tokens), 用来作为对特定资源授权流程的一部分。

3）消除基于网络位置的信任

部署无特权网络: 谷歌办公大楼内部的所有客户端设备默认都被分配到这个网络中。无特权网络只能连接互联网、有限的基础设施服务(如，DNS、DHCP 和 NTP)、以及诸如 Puppet 之类的配置管理系统。接入到这个无特权网络后, 并不能直接访问企业内网的应用, 必须经过代理网关的认证授权后, 才能访问企业应用。

使用802.1x认证分配到动态VLAN网络: 只有通过802.1x认证的设备才能被动态的分配到无特权网络, 然后下一步再进行访问代理的认证; 没有通过802.1x认证的设备只能被分配到补救网络或访客网络中。

4）将应用和工作流公网化

面向公网的访问代理提供全局可达性, 负载均衡, 访问控制检查, 应用健康检查和DDoS防护。在通过访问控制检查后, 访问代理会将请求转发给后端应用。

公共的DNS记录: 谷歌的所有企业应用均对外提供服务，使用CNAME将企业应用指向面向互联网的访问代理。

5）实现基于设备清单的访问控制

对设备和用户的信任推断: 每个用户和/或设备的访问级别可能随时改变。通过查询多个数据源, 能够动态推断出分配给设备或用户的信任等级, 这一信任等级是后续授权的关键参考信息。

访问控制引擎(ACE): 访问代理中的访问控制引擎, 基于每个访问请求, 为企业应用提供服务级的细粒度授权。授权判定基于用户, 用户组, 设备证书, 设备清单数据库中的设备属性进行综合判定。地理位置和网络位置在BeyondCorp安全模型中, 已经不是认证授权的必选项, 而是根据需要做判定的一个可选项。

访问控制引擎的消息管道: 通过消息管道向访问控制引擎源源不断地推送信息，这个管道动态地读取对访问控制决策有用的信息，包括证书白名单、设备和用户的信任等级，以及设备和用户清单库的详细信息。