用途：面向企业级 SASE 与零信任网络访问部署，替代 VPN 与分支防火墙，为移动用户和远程网络提供云交付安全，并可集成现有 Palo Alto NGFW。资料明确不适用于用户少于 200 人的小型组织、仅需 Web 应用访问的场景，或企业级 SASE 许可预算受限的环境。
主要能力：在 Strata Cloud Manager 中配置 Prisma Access 基础设施（移动用户 IP 池、DNS、SAML 身份认证、GlobalProtect 门户与网关、基础设施子网）；部署 ZTNA Connector 以访问内部应用（VMware OVA 或 AWS CloudFormation，单连接器带宽最高 2 Gbps，IPSec 使用 ecp384/aes256/sha512）；定义应用与安全策略、HIP 设备姿态（EDR、磁盘加密、补丁版本）；通过 Intune/SCCM 分发 GlobalProtect 代理；集成 Cortex Data Lake 与 SIEM 日志转发及告警。
必要用法：移动用户配置包括 IP 池 10.100.0.0/16、门户 portal.company.com；AWS 示例命令 aws cloudformation create-stack --stack-name prisma-ztna-connector --template-url https://prisma-access-connector-templates.s3.amazonaws.com/ztna-connector-aws.yaml。策略默认拒绝私有应用，HIP 检查间隔建议不低于 60 秒，正式部署前建议 4–6 周试点。
限制：ZTNA Connector 最低需 4 vCPU、8GB RAM、128GB 磁盘，配置不足会增加延迟；GlobalProtect 预登录需机器证书；具体许可、价格与支持平台以官方信息为准，资料未提供。