# Pomerium Pomerium 是一款零信任、身份感知型代理，无需 VPN 即可为 Web 应用和关键工作负载提供无客户端访问，帮助安全、开发和运维团队对人类、机器及代理身份的请求进行身份验证、授权与审计。 - Findings24: - 网站: - 价格: Freemium - 分类: 商业软件 ## 什么是 Pomerium？ Pomerium 是一款第 7 层、身份感知型反向代理，可为 Web 应用和关键工作负载提供无客户端访问。它无需 VPN 或客户端软件即可建立安全连接，方法是对请求进行身份验证、应用授权策略，并将获准的流量代理到上游应用。 Pomerium 可与符合 OIDC 的身份提供商集成，并可将设备上下文纳入访问决策。其零信任模型会对每个请求进行身份验证和授权，而不是在用户登录后授予隐式信任。策略既可以通过构建器 UI 管理，也可以使用类似 YAML 的策略即代码来表达。 该平台集中管理路由、策略、用户、会话、服务账户和运营数据。它会记录请求和会话以供审计，支持持续执行策略，并可将经过加密签名的 JWT 传递给上游应用。 ## Pomerium 能做什么？ ### 无客户端应用访问 无需 VPN 或客户端软件即可通过 Web 访问受保护的应用，减少分发和维护访问客户端的需求。 ### 身份感知型授权 通过符合 OIDC 的身份提供商进行身份验证，并针对发往上游应用的请求执行精细化、基于策略的授权。 ### 策略即代码与策略构建器 支持类似 YAML 的授权策略以及用于定义访问规则的策略构建器 UI，包括基于身份和可用设备上下文的条件。 ### 集中式审计与管理 通过统一的管理界面集中管理用户、路由、策略、会话、服务账户、事件和运行时数据，并记录请求和会话以供审查。 ### 向上游应用提供签名 JWT 通过加密签名的 JWT 将获准的请求连接到上游应用，支持应用级身份验证和附加请求上下文。 ### 持续验证 在已建立的会话期间重新评估策略并记录请求，而不是将初始登录视为唯一的访问决策。 ## 使用场景 ### 保护 Kubernetes 访问 在网关处使用身份感知型访问策略保护 Kubernetes ingress、kubectl、Gateway API 和上游应用，无需客户端。 ### 分布式团队访问 让远程员工和分布式团队通过基于浏览器的连接访问内部应用，而不是依赖 VPN 工作流。 ### 承包商与限时访问 为承包商和其他非永久用户应用范围受限或即时权限，并集中进行策略变更、撤销和审计记录管理。 ### 内部服务与 API 将内部 API、安全服务访问及其他应用到应用的连接置于统一的授权层之后，并支持服务账户。 ### 代理工作流 将 Pomerium 用作 AI 代理、提示词、自主工作流和模型端点的网关，以便按请求授权并记录代理操作。 ## 常见问题 ### Pomerium 是否需要 VPN 或客户端软件？ 不需要。该产品被描述为无需 VPN 或客户端软件，即可通过 Web 以无客户端方式访问应用。 ### Pomerium 如何验证用户身份？ Pomerium 可与现有的符合 OIDC 的身份提供商集成。网站明确列出 Okta、Entra ID 和 Google 作为示例，同时也提到托管身份验证服务或使用自有身份提供商。 ### 如何定义访问规则？ 访问规则可以编写为类似 YAML 的策略即代码，也可以通过 Pomerium 的策略构建器 UI 进行管理。网站介绍了精细化、身份感知型策略，以及在可用时支持设备上下文。 ### Pomerium 可以自托管吗？ 可以。商业版采用自托管数据平面和托管控制平面；Enterprise 则被描述为完全自托管的本地部署解决方案。免费的个人版也包含自托管反向代理。 ### 有哪些部署和定价选项？ 定价页面列出了免费的个人版、按用户定价的商业版，以及采用定制定价的 Enterprise 版。商业版提供免费试用，Enterprise 版则采用联系销售的流程；具体限制因版本而异。 ## 快速信息 - **类别**: 零信任访问与身份感知型反向代理 - **访问模式**: 无需 VPN 的无客户端、基于 Web 的应用访问 - **策略模型**: 类似 YAML 的策略即代码与策略构建器 UI - **身份支持**: 符合 OIDC 的身份提供商，包括 Okta、Entra ID 和 Google - **部署选项**: 托管控制平面搭配自托管数据平面，或完全自托管的 Enterprise 版 - **接口**: Web UI、CLI 和 API