本技能介绍如何用 Zscaler Private Access（ZPA）实施零信任网络访问（ZTNA）。ZTNA 取代传统 VPN：用户不再被放入企业网络，而是通过基于身份、上下文的策略访问私有应用；ZPA 经由 Zscaler Zero Trust Exchange 云平台在已认证用户与内部应用之间代理安全连接。
主要组件：Client Connector（终端轻量代理，向最近的 ZPA Service Edge 建立出站 TLS 隧道）、ZPA Service Edge（云端或本地 Private Service Edge 代理，在策略评估后拼接用户到应用的连接）、App Connector（部署在应用环境的轻量 VM，向 Service Edge 建立出站隧道）、ZPA Admin Portal（集中管理控制台）。关键原则是不需要入站连接，两端均为出站连接，从而消除传统 VPN 的攻击面。
主要能力与流程：配置身份源集成（SAML 2.0 或 OIDC，如 Azure AD、Okta、Ping，并可用 SCIM 同步用户与组）；在各应用环境部署 App Connector，用 provisioning key 安装注册，状态需为 Healthy，且每环境至少两个以实现高可用；创建 Server Group 进行分组与故障切换；定义 Application Segments（按 IP、FQDN、端口、协议）并组织为 Segment Groups；配置访问策略，结合用户身份、组、设备姿态与位置、时间等上下文，按最严格优先排序，并设置拒绝规则；启用设备姿态检查（补丁级别、磁盘加密、杀毒状态），可与 CrowdStrike、Intune、Carbon Black 集成；部署 Client Connector（通过 MDM 如 Intune、Jamf、SCCM 或手动安装，配置转发配置文件）；启用日志流到 SIEM（Splunk、Sentinel、QRadar）、告警与 ZPA Insights 分析。ZPA 还支持浏览器访问，可对无 Client Connector 的非受管设备和第三方用户提供 Web 应用访问。
适用场景：部署或配置 ZPA 的 ZTNA 能力、按合规要求建立安全控制、完善该领域安全架构、以及需要此实现的安全评估。
前置条件：理解零信任原则（NIST SP 800-207）、熟悉身份提供商、掌握网络安全基础、可访问 ZPA 租户；需有测试或实验环境、Python 3.8+ 与所需依赖，以及测试活动的相应授权。
限制与验证：资料给出校验清单，包括身份源 SSO 与 SCIM 测试、App Connector 健康状态、段定义正确、最小权限策略、设备姿态拦截不合规终端、客户端全量部署、SIEM 日志确认、故障切换测试（禁用每 Server Group 的一个 Connector）、第三方访问的浏览器访问配置，以及 VPN 退役计划与回滚流程。具体价格、许可与部署细节暂未提供。