本技能用于在零信任环境中部署身份验证能力。身份是零信任架构的基础支柱，NIST SP 800-207 要求所有资源的认证与授权动态且强制执行。相比传统用户名口令，零信任身份验证结合设备姿态、行为生物特征、位置与网络上下文等多信号，实现持续、风险自适应的认证。
覆盖范围：抗钓鱼 MFA（FIDO2/WebAuthn）、持续身份验证、基于风险的条件访问、身份治理，对齐 CISA 零信任成熟度模型身份支柱。
核心概念：FIDO2/WebAuthn 将认证绑定到来源域，硬件密钥与平台认证器提供加密身份证明且不传输机密；持续身份验证通过会话令牌评估、行为分析与定期重新认证实现；条件访问策略依据用户风险、登录风险、设备合规与位置动态调整；身份威胁检测利用不可能旅行、异常登录、撞库与令牌重放检测发现失陷身份。
实施阶段：一是身份基础设施，整合身份源并联邦到单一权威 IdP（SAML 2.0/OIDC）、用 SCIM 自动开通与撤销、消除本地账户与共享凭据，部署 FIDO2/WebAuthn 硬件密钥与平台认证器，禁用短信和语音 MFA，配置条件访问策略。二是基于风险的认证，启用风险检测并按低/中/高风险设置允许、要求 MFA、阻止并调查，集成 SIEM/SOAR，对特权提升等敏感操作实施阶跃认证并与 PAM 集成。三是持续验证，启用持续访问评估（CAE/CAEP）实现令牌实时撤销，配置会话时长与登录频率控制。四是身份治理，自动化 joiner-mover-leaver 流程、基于角色开通、即时访问、访问审查与定期认证。
前置条件：理解零信任原则（NIST SP 800-207）、熟悉身份提供商（Azure AD、Okta、Ping Identity）与认证协议（SAML 2.0、OIDC、FIDO2）、理解 MFA 与无密码认证、Python 3.8+ 及依赖、具备测试或实验环境与授权。
限制：资料仅提供概念、架构与工作流，未提供具体实现代码、命令或价格信息，暂未提供。