用途：以 HashiCorp Boundary 实现零信任的基础设施访问，替代传统 VPN 或直连。Boundary 采用默认拒绝模型，用户初始无任何权限，需显式授权才能访问特定资源；与 Vault 集成后可动态代理凭据，用户无需接触底层密钥，会话结束自动吊销。
主要能力：控制器/工作节点（控制面与数据面）分离架构；支持 SSH、RDP、K8s、HTTP、数据库等目标；OIDC/LDAP 身份认证；以组织与项目构成的分层作用域模型；会话录制用于审计合规；静态与动态（如 AWS）主机目录；通过 Terraform 管理资源；基于角色与托管组的访问控制，支持最小权限授权。
使用方式：安装后缀包并初始化数据库 boundary database init -config=/etc/boundary/controller.hcl，启动 boundary server -config=...。控制器与工作节点分别使用 controller.hcl、worker.hcl 配置，需 PostgreSQL、TLS 证书及 KMS。认证后可用 boundary authenticate oidc，boundary targets list 列出目标，boundary connect ssh/postgres 连接目标，凭据由 Vault 注入或代理。会话记录可用 boundary session-recordings list/download 获取，并用 asciinema play 回放。
限制与注意：需自备 Boundary 服务器或 HCP Boundary、Vault、支持 OIDC 的身份提供方、PostgreSQL 与 TLS 证书；生产环境应使用 Vault KMS 而非静态 AEAD 密钥，建议启用会话录制、设置会话时限、使用 OIDC 托管组自动分配角色、定期轮换 Vault 令牌并启用审计日志。资料未提供收费、价格与效果数据。