用途：该技能用于实施零信任网络架构，替代传统基于边界的 VPN 访问模型，适用于 BeyondCorp 风格的内网应用访问、多云或混合云环境、服务间身份化访问、合规所需的持续验证与最小权限，以及 Kubernetes 或云工作负载的微隔离。
核心原则：显式验证（每次访问请求都认证授权，含 MFA、身份感知代理、服务间 mTLS、API 令牌校验）；最小权限（JIT 访问、限时授权、细粒度 RBAC、定期权限复核）；假设已失陷（服务间微隔离、端到端加密、持续监控与异常检测、限制爆炸半径）。
主要能力与用法：提供 Cloudflare Access 的 API 与 Terraform 配置示例，用于创建访问应用、策略和设备姿态规则；提供 oauth2-proxy 的 Kubernetes 部署与 Ingress 注解示例，保护内部服务；提供 Istio PeerAuthentication 与 AuthorizationPolicy 示例，强制严格 mTLS 并实现默认拒绝；提供 Kubernetes NetworkPolicy 示例，实现命名空间默认拒绝、DNS 放行及前后端与数据库的定向放行；提供 OPA Rego 策略示例，综合身份、设备合规、资源授权与风险评分做访问决策。
实施步骤：盘点资产与数据流、部署身份提供方、实施身份感知代理、启用服务网格 mTLS、应用网络策略、加入设备姿态检查、部署持续监控、依据监控迭代优化。
限制：需在授权范围内使用，破坏性步骤应先在非生产环境测试；该资料为纯文档导入，未附带上游脚本与模板；具体收费、平台支持范围等未提供。