用途：实现零信任网络架构，用“永不信任、始终验证”模型替代传统基于边界的 VPN 访问，适用于 BeyondCorp 式内部应用访问、多云或混合云环境、服务间基于身份的访问、持续验证与最小权限合规，以及 Kubernetes 或云工作负载的微隔离。
核心原则：显式验证（每次访问请求都认证授权，含强 MFA、身份感知代理、服务间 mTLS、每请求 API 令牌校验）；最小权限（JIT 访问、限时授权、细粒度 RBAC、定期访问审查）；假设失陷（服务间微隔离、端到端加密、持续监控与异常检测、限制爆炸半径）。
主要能力与用法：提供 Cloudflare Access 配置示例（创建 Access 应用、策略、设备姿态规则，含 curl 与 Terraform 写法）；oauth2-proxy 身份感知代理的 Kubernetes Deployment 与 Ingress 注解；Istio 严格 mTLS 的 PeerAuthentication、AuthorizationPolicy 及默认拒绝策略；Kubernetes NetworkPolicy 实现默认拒绝、DNS 放行、前后端与数据库分段；OPA/Rego 零信任访问决策策略，含身份验证、设备合规、资源授权与风险判断。
实施步骤：清点资产与数据流、部署身份提供方、实现身份感知代理、为服务网格启用 mTLS、应用网络策略、加入设备姿态检查、部署持续监控、依据监控数据迭代策略。
前提条件：支持 OIDC/SAML 的 IdP、服务网格或代理基础设施、设备管理/MDM、Kubernetes 集群，以及理解 mTLS、RBAC 与网络策略。
限制：资料未提供具体收费、价格、平台支持范围或效果数据；示例依赖 Cloudflare、Istio、oauth2-proxy、OPA 等外部组件，实际部署需按环境调整。