用途：用于设计安全架构、落地零信任原则或评估安全态势，适用于新系统安全设计、从边界安全迁移、实施微隔离、评估基于身份的访问控制、理解 ZTNA 以及安全态势评估。
核心原则：永不信任、始终验证；最小权限访问；假设已被入侵；显式验证（用户身份、设备健康、请求上下文），每次请求都做访问决策。
架构分层：身份层（MFA、SSO、联邦身份、PAM、服务身份与证书轮换）；设备层（设备健康证明、EDR、MDM、证书身份、态势评估）；网络层（微隔离、SDP、NAC、DNS 安全、mTLS）；应用层（API 网关认证、服务网格、WAF、RASP、供应链安全、ABAC/RBAC、即时访问）；数据层（分类标注、加密、DLP、权限管理、令牌化、细粒度访问与审计）。
实施模式：身份感知代理（BeyondCorp 风格，按身份、设备信任、上下文决策）；服务网格零信任（控制面策略引擎、证书颁发、配置存储，数据面 mTLS 与细粒度授权）；ZTNA（应用级访问而非网络级，隐藏基础设施，策略一致，缩小攻击面）。
信任评估：按用户、设备、上下文计算信任分，结合风险矩阵决定放行、MFA 挑战或阻断，并考虑时间、位置、行为、资源敏感度等动态因素。
实施路线图分四阶段：可见性与身份（3-6 个月）、设备信任（3-6 个月）、微隔离（6-12 个月）、自适应访问（3-6 个月），每阶段给出步骤与成功标准。
反模式：只加 MFA 就称零信任、仅用 ZTNA 替代 VPN、只信任内网、一次性验证、用户可绕过的安全表演。
技术选型涉及身份（Entra ID、Okta、Ping、Google Identity）、ZTNA（Zscaler、Cloudflare Access、Prisma Access、Tailscale）、服务网格（Istio、Linkerd、Consul Connect、AWS App Mesh）、设备管理（Intune、Jamf、Workspace ONE、Google Endpoint Management）。
限制：资料未提供具体安装命令、代码示例、收费与价格信息，也未给出各方案的性能或效果数据。