零信任架构下的身份认证落地实操避坑

上周跟苏州一家做精密零部件的制造企业IT总监撸串，他吐苦水说去年刚砸了两百多万上零信任方案，结果现在除了个VPN换了个登录界面，该翻墙的还是翻墙，该把账号借同事的还是借，财务的报表照样能被车间主任随便下。

我当时听他说的时候，手里的烤串都差点掉地上。

真的太坑了。

他说当时选型的时候，厂商销售拍着胸脯说”上了我们的方案就实现零信任了”，结果交付完才发现，所谓的身份认证就是把原来的账号密码换成了企业微信扫码，扫码之后的权限跟原来VPN时期一模一样——只要是在职员工，登进去就能看到所有内部共享盘的内容，甚至连研发部的图纸目录都能随便翻。

钱打了水漂的核心原因

说实话，这种案例我见得太多了。

大部分团队在做零信任身份认证落地的时候，从一开始就把核心搞反了。他们觉得身份认证就是个”登录环节的优化”——加个多因素认证，换个扫码登录，就算完成了。但实际上，零信任架构下的身份认证从来不是静态的登录校验，而是贯穿整个访问周期的动态信任评估。

举个最简单的例子，同样是市场部的员工，周一在公司连内网登CRM，和周六在外地出差用公共WiFi登CRM，他的信任等级能一样吗？同样是财务岗的员工，平时登报销系统没问题，要是突然要访问去年的年报备份，难道不需要额外的校验？

很多厂商卖的方案里，把多因素认证打包成了零信任的全部，客户付了钱，以为拿到了全套防护，结果到头来还是静态权限那一套——只要账号密码对，不管你在哪、用什么设备、要访问什么资源，权限全给你开。这跟原来的VPN有啥区别？

更离谱的是，有些团队为了赶项目进度，直接把原来的权限表原封不动导到新的零信任系统里，连个梳理的步骤都省了。IT运维怕麻烦，说”反正原来的权限大家用惯了，改了反而要被业务部门骂”，结果就是花了大价钱买了套新系统，跑的还是十年前的老权限规则。

不用大拆大建的落地路径

不过话说回来，也不是说零信任的身份认证落地就得把整个IT架构全推翻重来了。我去年帮杭州一家做电商的创业团队搭过这套体系，总共花了不到二十万，三个月就跑通了全流程，业务部门几乎没感知。

别上来就买最贵的设备，先把手里的身份数据源理清楚。你现在员工的账号是从哪来的？是HR系统自动同步的？还是IT手动在各个系统里建的？离职员工的账号是不是真的能在所有系统里自动禁用？这些基础的东西没理顺，买再贵的零信任方案都是白搭。

然后，别一开始就追求全量覆盖。先挑风险最高的场景做试点——比如研发的代码仓库、财务的报表系统、客户的CRM库，这些地方一旦出问题损失最大。给这些场景搭最小权限的动态访问规则：比如研发人员只有在公司内网、用公司配的工作电脑，才能拉取代码；要是用个人电脑登，哪怕账号密码对，也只能看文档不能拉代码；要是离职了，不管啥情况，所有系统的访问权限实时收回。

对了，还有个最容易被忽略的点：别把认证流程做的太复杂。我之前见过一家公司，为了做零信任，要求员工每次访问一个系统都要重新扫码、输验证码、甚至做人脸识别，结果业务部门怨声载道，最后IT部没办法，干脆给所有人开了个长期免认证的白名单，等于防护全废了。真正好用的身份认证，是业务侧的无感适配——平时低风险操作的时候，员工啥都不用管，正常用就行；一旦检测到风险操作，比如突然要下载大量客户数据、或者从境外IP登系统，再弹出来二次校验，这样大家才不会抵触。

哦对，还要跟业务部门提前打招呼，别上来就说”我们要上安全系统，以后大家访问要多走流程”。你得跟他们算明白账：上了这套东西，以后员工离职了不用怕他带走客户资料，不用怕他删代码，真出了安全事件也能快速溯源，不会让业务部门背锅。大家目标一致了，推进起来才不会处处碰壁。

别踩这些想当然的坑

最后说几个我见过最多的坑。

别觉得零信任就是”把边界撤了”。很多人被概念忽悠，觉得上了零信任就可以把防火墙全拆了，让所有人随便从外网访问资源。不对的。零信任的核心是”每次访问都要验身份”，不是”不要边界”。

也别觉得买了个身份管理平台就万事大吉。平台是工具，你得把规则填进去，得定期根据业务的变化调整权限，不能买完就扔在那不管。我见过太多团队，买了IAM系统，结果一年都没更新过一次权限规则，最后系统里攒了一堆僵尸账号，反而成了新的安全隐患。

还有，别为了合规去做表面功夫。很多公司上零信任就是为了过等保，拍两张照片、写个文档就算交差，实际系统里该啥样还是啥样。真要是出了数据泄露的事，那些表面功夫一点用都没有。

其实哪有那么复杂。零信任的身份认证落地，从来不是什么高大上的技术项目，本质就是把原来”一次登录、永久授权”的老逻辑，换成”每次访问、实时校验”的新习惯而已。你要是一开始就想着要搞个大新闻，花个几百万搭一套看起来很炫的系统，最后大概率是要踩坑的。

慢慢来，从最痛的场景开始，把每一步的规则跑顺了，比啥都强。