用途：在从传统边界安全迁移到以身份为中心访问控制时，消除远程办公对 VPN 的依赖，对每次访问请求做持续验证，为多云工作负载设计微隔离，并满足联邦指令、NIST 等合规对零信任架构的要求。不适用于仅做简单 VPN 替换、仅管理网络防火墙规则（另见 implementing-cloud-network-segmentation）或身份提供商初始设置（另见 managing-cloud-identity-with-okta）。
主要能力与流程：一、依据 NIST SP 800-207「永不信任，始终验证」定义零信任原则与架构，包括策略决策点（身份提供商、设备信任、风险引擎）与策略执行点（IAP/代理）。二、部署身份感知代理，如 GCP 启用 iap.googleapis.com、为 App Engine 配置 IAP 并绑定 IAM 策略，AWS 使用 AWS Verified Access 配合 OIDC 信任提供商。三、实施持续验证，如 Azure 条件访问策略要求 MFA 与合规设备，并设置登录频率。四、执行微隔离，使用安全组按层级仅允许指定来源通信。五、集成终端验证做设备信任评估，要求加密、系统补丁和端点保护。六、通过日志导出（如 IAP 日志到 BigQuery、Verified Access 日志到 CloudWatch）持续监控并迭代策略。
前置条件：支持 OIDC/SAML 的身份提供商、端点信任评估的设备管理方案、可经 HTTPS 访问并带负载均衡或反向代理的云工作负载，以及用于持续监控的 SIEM。
限制与提示：资料为流程性指导，未提供确切耗时、成本或效果数据；若缺乏设备管理，零信任部署可能阻断使用个人设备的合法用户，重认证间隔过短也会影响开发效率。常见工具有 Google BeyondCorp Enterprise、AWS Verified Access、Azure Conditional Access、Zscaler Private Access、Cloudflare Access。