零信任把访问决策从网络位置转向资源与上下文

传统边界安全常把内部网络视为可信区域，用户或设备一旦进入，就能访问一组资源。云服务、远程办公、合作方接入和被攻陷终端使这种假设越来越脆弱。零信任架构不因网络位置或资产归属自动授予信任，而是在建立资源会话前显式判断主体、设备、资源和环境。

“永不信任”不是拒绝所有请求，也不是每次都要求用户重新登录。它强调信任不是永久属性，访问由可验证证据和策略决定，并在条件变化时重新评估。

保护对象是资源而不是网段

资源可以是应用、数据、服务、设备或业务流程。先盘点资源、所有者和敏感等级，才能定义谁在什么条件下执行什么动作。若只划分网络区域而没有资源授权，进入某个子网后仍可能横向访问。

数据路径与控制路径要分离。策略决策点计算允许、拒绝或附加条件，策略执行点在请求实际到达资源前落实结果。身份、设备状态、威胁情报和资源属性为决策提供信息，但它们不可用时的失败行为必须明确。

策略不能只有角色。管理员角色在托管设备、正常地点和工单窗口内可以执行高风险操作，并不意味着任何时刻、任何终端都应允许。上下文增强授权，也会引入时钟、状态同步和误判依赖。

人、服务和设备都需要可区分身份。共享账号、长期静态密钥和无法追踪的服务令牌会破坏决策基础。认证要证明当前请求控制相应凭据，授权再判断该身份对具体资源的动作。

多因素认证降低单一凭据被盗风险，但会话建立后仍可能被劫持。令牌应限制受众、范围和寿命，并绑定适当上下文。服务身份也要轮换和最小授权，不能因为没有交互登录就使用永久万能凭据。

身份生命周期必须覆盖入职、岗位变化、离职和紧急吊销。目录中角色已修改，不代表所有缓存令牌立即失效。高风险资源需要更短会话或主动撤销机制。

设备管理可以提供补丁、加密、完整性和所有权状态。状态健康能降低风险，却不能证明设备没有被攻陷；个人设备也不能只因不受管理就被视为恶意。策略应根据资源风险决定允许的设备条件和功能范围。

状态采集本身涉及隐私和完整性。客户端自报容易伪造，深度采集又可能超出业务需要。证据来源、更新时间和缺失处理要透明。状态服务故障时全部放行会绕过控制，全部拒绝又可能造成全局不可用。

可以设计分级降级：低风险读取维持，敏感写入暂停，已有会话缩短。降级应被监控并有恢复步骤，不能长期成为常态。

权限粒度过粗时，只能在“完全允许”和“完全拒绝”间选择。资源层应表达租户、对象、动作和条件，服务接口再执行同样约束。网络策略可限制可达性，但不能替代业务授权。

临时提升权限比永久管理员更符合最小权限。提升需要理由、审批、期限和完整审计，紧急账号还要定期演练。自动化服务也应按任务获取短期能力，而不是继承运行平台的全部权限。

权限收缩要观察真实使用。长期无人使用的授权可以回收，但偶发灾备操作不能因近期无流量就自动删除。所有者需确认业务场景和应急路径。

网络微分段减少横向可达范围，对旧系统和难以改造的协议很有价值。但若分段规则按 IP 静态维护，实例变化会造成漂移；若应用层仍接受任何已连接主体，也没有完成资源级授权。

代理、服务网格和软件定义边界可以承担策略执行，但它们引入证书、控制面和旁路风险。需要验证所有入口都经过执行点，包括后台任务、管理端口和故障回退路径。

采购一个“零信任产品”不会自动建立完整架构。身份、资产、策略、遥测和治理跨越多个系统，迁移必须从高价值资源和可测量路径开始。

会话期间的地理位置突变、设备降级、异常下载和权限变化可能触发重新认证、缩小权限或终止会话。持续不等于对每个数据包执行昂贵计算，而是让重要状态变化能够影响后续决策。

观测要关联主体、设备、资源、策略版本和结果。只记录登录成功无法解释为何允许访问某条数据。日志本身属于敏感资源，需要限制访问、防篡改和保留期限。

风险评分可以辅助策略，但其错误会直接影响访问。评分输入、阈值和回退必须可审计。不能用不可解释的单一分数替代明确的授权规则和申诉路径。

先建立资源和访问流清单，再选择高价值且边界清晰的场景。迁移前记录当前访问、故障和恢复基线，部署后比较未授权阻断、合法拒绝、决策延迟和依赖可用性。

旧系统可能不支持细粒度身份，可以用网关和分段过渡，但要标记剩余隐式信任。双轨期间尤其要防止用户绕过新入口访问旧地址。完成迁移需要移除旁路，而不是只上线新代理。

演练应覆盖身份服务不可用、策略发布错误、证书过期、设备状态缺失和紧急访问。零信任控制若成为单点故障，会用安全名义降低系统韧性。

零信任是一种访问架构原则：不把位置当作信任，围绕资源持续作出有证据的最小权限决策。它必须与可用性、隐私、旧系统和运维能力一起设计，才能从口号变成可验证控制。