用途：在云环境中实施零信任网络访问（ZTNA），以基于身份与上下文的访问控制替代传统 VPN 远程接入，并通过微隔离限制横向移动。
主要能力：配置身份感知代理（GCP IAP、AWS Verified Access、Azure Private Link 与条件访问）；基于用户身份、设备健康与位置构建上下文感知策略；实施网络层微隔离（安全组、Kubernetes NetworkPolicy）；启用持续验证与访问日志记录。
使用方式：先准备身份提供商（Entra ID、Okta、Google Workspace）并强制 MFA、云原生网络能力、设备管理方案与集中日志。随后按步骤执行：启用 IAP API 并配置 OAuth 与访问策略；创建 Verified Access 信任提供商、实例、组与端点；创建 Azure 私有终结点与条件访问策略；配置安全组与 NetworkPolicy；开启访问日志并查询拒绝请求。命令保持原样，如 gcloud services enable iap.googleapis.com、aws ec2 create-verified-access-trust-provider、az network private-endpoint create。
适用场景：替换 VPN 远程访问、云工作负载安全访问、合规驱动的零信任架构、基于设备与位置的上下文策略。
限制：不能替代防火墙与网络 ACL；不适用于面向公网的公开应用（应使用 WAF）；不适用于无法进行身份认证的 IoT 设备。并非所有应用都支持身份感知代理，遗留厚客户端可能需基于代理的 ZTNA 方案；设备姿态评估需端点管理方案覆盖所有设备；需记录身份提供商不可用时的应急访问流程。