用途：依据网络安全策略，在 AWS 环境中落地云原生网络防护与零信任架构，核心理念是“边界已死，零信任长存”，即永不信任、始终验证。
主要能力：覆盖云原生防护（AWS 原生服务）、零信任架构、网络分段（VPC 隔离与安全组）、VPN 安全远程访问，以及防火墙规则（AWS WAF、安全组、NACL）。
必须要求：VPC 采用多层设计，包含公有子网、私有子网和隔离子网；可用区至少 2 个以实现高可用；安全组默认拒绝并遵循最小权限；NACL 作为子网额外保护。零信任控制包括带 MFA 的 IAM 角色、按工作负载微隔离、优先 TLS 1.3 及管理员 VPN、CloudTrail/GuardDuty/Flow Logs 监控。WAF 使用 OWASP Top 10、已知恶意输入、IP 信誉等托管规则，以及限速、地理封锁等自定义规则，日志存入 S3 并保留 90 天。
禁止事项：数据库不得置于公有子网；管理端口不得对 0.0.0.0/0 开放；生产环境不得使用默认 VPC；不得禁用 CloudTrail 或 Flow Logs 等监控。
使用方式：资料给出三层 VPC 示例，公有子网放 ALB 与 NAT 网关，私有子网放 EC2 应用与 Lambda，隔离子网放 RDS；安全组按 ALB→应用→数据库逐层放行，数据库出站全部拒绝；同时启用 VPC Flow Logs、GuardDuty 与 CloudWatch 告警。
适用场景：AWS 云上网络架构设计、安全合规审查与零信任改造。
限制：资料未提供具体安装命令、收费信息或平台支持范围；版本 1.0，更新于 2026-02-10，许可 Apache-2.0。