用途：在 AWS、Azure、GCP 中落地零信任网络访问，用基于身份的访问控制替代传统 VPN，并对云内工作负载实施微隔离与持续验证。适合替换 VPN 远程接入、限制横向移动、满足零信任合规要求、在不暴露公网的前提下访问云工作负载，以及构建基于身份、设备健康和位置的上下文访问策略。
主要能力（按资料中的步骤）：
- GCP：部署 Identity-Aware Proxy（IAP），启用 iap.googleapis.com，创建 OAuth 品牌，对 App Engine 或后端服务启用 IAP，通过 add-iam-policy-binding 授权，并用 access-context-manager 创建基于设备的访问级别。
- AWS：使用 Verified Access，创建 OIDC 信任提供方、实例、组与策略，再为内部应用创建端点。
- Azure：创建 Private Endpoint 与私有 DNS 区域，并用 Microsoft Graph PowerShell 配置要求 MFA 与合规设备的条件访问策略。
- 微隔离：用安全组实现分层隔离，或用 Kubernetes NetworkPolicy 限定 Pod 间流量。
- 持续验证与日志：启用 Verified Access 访问日志到 CloudWatch，查询被拒绝的请求。
前提条件：具备强制 MFA 的身份提供方（Entra ID、Okta、Google Workspace）；云原生网络能力（AWS PrivateLink、Azure Private Link、GCP IAP）；设备管理方案（Intune、Jamf、CrowdStrike）用于设备姿态评估；服务网格或零信任代理（Cloudflare Access、Zscaler ZPA 或云原生 IAP）；集中式访问决策日志。
限制：不替代防火墙和网络 ACL；面向公网的应用应使用 WAF；不适用于无法做身份认证的 IoT 设备。并非所有应用都支持身份感知代理集成，遗留厚客户端可能需要基于代理的 ZTNA 方案；设备姿态评估要求所有公司设备已部署端点管理；需为身份提供方不可用场景编写应急访问流程。