零信任架构下的身份认证落地避坑指南
上周跑南京河西某制造企业的IT部，刚进门就撞见安全主管把一摞采购单摔桌上。
去年花了小两百万上的零信任网关，审计团队过来一测，所有运维账号还是用的”公司名@2023″这种通用弱密码，连MFA都没开全。
说实话我见过太多这种项目了。
钱花得响，水漂打得远。
别把买设备当成落地的全部
很多团队对零信任的认知还停留在”买个网关换个入口”的阶段，把身份认证当成了零信任的附属功能，觉得对接完AD域、发一批动态口令牌就算完事。
零信任架构的本质不是换网络边界，是把每一次访问的身份校验变成默认动作——你买的网关只是个执行校验的通道，真正的核心是”你是谁、你要访问什么资源、你现在的环境合不合规”这三个问题的判断逻辑，不是设备本身。
上次跟客户聊，他们之前的方案里，身份模块就是个网关自带的小插件，连单独的策略管理界面都没有，所有用户的认证等级全靠默认配置。
那跟没做有啥区别？
落地时最容易踩的三个隐形坑
第一个坑，把身份源对接当成了认证逻辑落地。
很多公司上了IDaaS平台，就觉得身份管理搞定了，结果所有用户不管是查内部通讯录，还是动生产数据库，都是同一个认证等级，连个差异化的校验要求都没有。
没有按访问资源的敏感度匹配认证强度的策略，都是自欺欺人。
第二个坑，把MFA当成万能解。
不少团队开了多因素认证就觉得万无一失，结果用的还是短信验证码。别跟我说你们的短信通道有多安全，黑产接码平台的价格现在已经降到两毛钱一条了，比你买瓶矿泉水还便宜。
去年某车企的运维账号就是被人截了短信验证码，直接把整个MES系统的权限卖了，最后赔了大几百万的生产停滞损失。
第三个坑，完全忽略非人类身份的校验。
几乎所有团队都会盯着员工账号的认证强度，却忘了系统之间的调用账号——比如ERP连MES的服务账号、定时备份的数据库账号，这些账号的密码三年没换过，连个IP白名单都没加，爆破难度比用户账号低10倍都不止。
上次有个客户的服务账号被人爆破之后，直接把整个供应链的订单数据拖走了，连个告警都没触发。
小团队也能落地的轻量动作
别信那些说零信任要全量替换现有系统的鬼话，先从最痛的点切入，比你花半年做全量规划有用得多。
我给那家制造企业出的第一版方案，根本没动现有系统，先拉了个清单：所有能触达生产数据库、财务核心系统、代码仓库的账号，不管是人的还是系统的，全部列出来。
先给这部分账号清掉静态密码，匹配对应的认证强度：运维登生产库，用工号+硬件密钥+人脸校验；业务岗查财务数据，用域账号+动态短信码；系统之间的调用账号，直接锁死固定IP，每90天自动轮换密码，连登录入口都不对外暴露。
刚推的时候一堆人抱怨，说太麻烦了。
结果上线第三周，就拦了个离职没走权限的老员工，拿着之前的账号想登系统拷客户数据，直接被系统锁了，触发了安全告警。
现在没人抱怨了。
之前那个嫌麻烦的运维工程师，一开始把硬件密钥扔工位上，被新来的实习生拿了想试登系统，直接触发了二次人脸校验的拦截，后来他自己把密钥揣兜里，连喝水都不摘。
上周再去那家客户那，安全主管给我递了杯冰美式，说审计过了。
现在整个流程跑顺了，也没花额外的钱，就是把之前买的零信任设备的策略功能给用起来了。
真要落地，哪有那么多玄乎的概念，把每一次访问的校验做扎实，比啥都强。