用途：HashiCorp Boundary 是身份感知代理，以默认拒绝模型提供对基础设施资源的零信任访问，替代传统 VPN 或直接网络访问。用户初始无任何权限，需显式授权特定资源；与 Vault 集成后可动态代理凭据，用户无需接触底层密钥，会话结束自动吊销，实现即时访问。
主要能力：支持 OIDC/LDAP 认证、会话录制用于审计合规、通过组织与项目的层级作用域模型管理访问；可配置静态与动态主机目录（如自动发现 AWS EC2）、SSH/TCP 目标、基于角色的访问控制、Vault 动态数据库凭据与 SSH 证书签名。
使用方式：需 Boundary 服务器（自托管或 HCP）、Vault、支持 OIDC 的身份提供商、PostgreSQL 后端与 TLS 证书。安装示例：curl -fsSL https://apt.releases.hashicorp.com/gpg | sudo apt-key add -，随后 apt 安装 boundary；用 boundary database init -config=/etc/boundary/controller.hcl 初始化数据库，boundary server -config=... 启动控制器。客户端可用 boundary authenticate oidc、boundary targets list、boundary connect ssh -target-id ttcp_xxxxx 等命令连接目标，也可用 Boundary Desktop。Terraform 提供 boundary_scope、boundary_auth_method_oidc、boundary_target、boundary_credential_library_vault 等资源。
适用场景：需要零信任访问控制、动态凭据代理、会话审计与最小权限授权的企业基础设施。
限制：资料未提供具体收费、价格、性能指标或平台兼容性细节；生产环境建议使用 Vault KMS 管理密钥、启用会话录制与审计日志、避免通配符权限。