序二

無(wú)論是網(wǎng)站可靠性工程還是安全性工程，其核心關(guān)注點(diǎn)都是保持系統(tǒng)可用。發(fā)布失敗、容量不足和配置錯(cuò)誤等事件都可能讓系統(tǒng)不可用（至少在短期內(nèi)不可用）。安全性或隱私事件會(huì)破壞用戶的信任，也會(huì)削弱系統(tǒng)的實(shí)用性。因此，系統(tǒng)安全是網(wǎng)站可靠性工程師的頭等大事。

在設(shè)計(jì)層面，安全性已經(jīng)成為分布式系統(tǒng)的高級(jí)動(dòng)態(tài)屬性。從早期使用無(wú)密碼賬戶的基于 UNIX 的電話交換機(jī)（沒(méi)有人使用調(diào)制解調(diào)器去撥號(hào)，至少人們是這樣認(rèn)為的），到靜態(tài)用戶名 ? 密碼對(duì)和靜態(tài)防火墻規(guī)則，我們已經(jīng)走了很長(zhǎng)一段路。如今，我們改用限時(shí)有效的令牌訪問(wèn)機(jī)制，因而每秒要對(duì)百萬(wàn)級(jí)的請(qǐng)求進(jìn)行高風(fēng)險(xiǎn)評(píng)估。對(duì)動(dòng)靜態(tài)數(shù)據(jù)的精細(xì)加密，再加上密鑰頻繁輪換，使得密鑰管理成為處理敏感信息的網(wǎng)絡(luò)、進(jìn)程和存儲(chǔ)系統(tǒng)的附加依賴項(xiàng)。構(gòu)建和運(yùn)營(yíng)此類基礎(chǔ)安全軟件設(shè)施需要原始系統(tǒng)設(shè)計(jì)人員、安全工程師和網(wǎng)站可靠性工程師緊密協(xié)作。

分布式系統(tǒng)的安全性對(duì)我個(gè)人而言具有更多的意義。從大學(xué)時(shí)代至加入 Google 前，我有一個(gè)關(guān)于進(jìn)攻性安全（offensive security）的副業(yè)，主要關(guān)注網(wǎng)絡(luò)滲透測(cè)試。我從分布式系統(tǒng)的脆弱性和攻守雙方的不對(duì)稱中學(xué)習(xí)到，防守方需要抵御所有可能的攻擊，而攻擊方只需要找到單個(gè)可利用的弱點(diǎn)進(jìn)行突破。

在理想情況下，SRE 會(huì)涉及關(guān)鍵設(shè)計(jì)的討論和實(shí)際系統(tǒng)的變更。作為 Gmail 的早期 SRE 技術(shù)負(fù)責(zé)人之一，我開(kāi)始將網(wǎng)站可靠性工程師視為預(yù)防不良設(shè)計(jì)和不良實(shí)現(xiàn)影響系統(tǒng)安全性的最佳防線之一。實(shí)際上在系統(tǒng)變更時(shí)，網(wǎng)站可靠性工程師是最后一道防線。

Google 的兩本關(guān)于 SRE 的書(shū)——《SRE：Google 運(yùn)維解密》和《Google SRE 工作手冊(cè)》——講述了 SRE 的原則和最佳實(shí)踐，但對(duì)于可靠性和安全性的結(jié)合并沒(méi)有深入講解。本書(shū)填補(bǔ)了這一空白，并深入探討了以安全性為重點(diǎn)的主題。

多年來(lái)，我們?cè)?Google 會(huì)以講座的形式將工程師聚在一起，大家一起交流和探討如何負(fù)責(zé)任地處理系統(tǒng)安全性問(wèn)題。但關(guān)于如何設(shè)計(jì)和運(yùn)維高安全性的分布式系統(tǒng)，正式的解決方案早就應(yīng)該出現(xiàn)了。正式的方案有助于我們更好地升級(jí)以往非正式的協(xié)作。

在當(dāng)今的網(wǎng)絡(luò)環(huán)境中，安全團(tuán)隊(duì)是發(fā)現(xiàn)各類新型攻擊以及讓系統(tǒng)免受各種威脅的前沿角色，而 SRE 團(tuán)隊(duì)在預(yù)防和治理上述事件中發(fā)揮著重要作用。除了將可靠性和安全性作為軟件開(kāi)發(fā)生命周期的組成部分，恐怕別無(wú)選擇。

——Michael Wildpaner
Google SRE 高級(jí)總監(jiān)