账号可信不等于设备可信。接入前检查终端的身份与状态，并让检查结果影响权限，是零信任里“终端可信”的核心。
想象一个场景：员工小李带着自己的账号，从一台感染了恶意程序的电脑登录公司系统。账号没错、密码没错，但这台电脑本身已经是一个“风险源”。这就是为什么零信任要在“人”之外，再检查“设备”。
为什么要检查设备
身份可信，只说明“人是对的”，而不能说明：
- 这台设备是不是公司管理范围内的；
- 它的系统、防护软件是否处于正常状态；
- 它有没有被篡改、被控制的迹象。
如果不检查，风险就会随着“合法账号”一起进入内部网络。
接入前，要检查哪些内容
一、这是什么设备（识别）
- 是否为受管设备，属于谁、什么类型；
- 设备的唯一特征，能否与已知设备对应上。
二、它现在状态如何（状态）
- 操作系统与补丁是否在合理范围；
- 安全防护措施是否运行；
- 是否存在明显的风险迹象。
三、它在什么环境（环境）
- 接入的网络环境是否可信，例如办公网、家庭网络、公共网络，风险各不相同；
- 位置与时间是否与平时相符。
四、这台设备应该访问什么（范围）
不同设备应有不同的访问范围。例如，自助终端只需要访问特定业务，没必要通达办公网。
检查结果，怎样影响权限
检查不是“通过 / 不通过”两种结局，而是要把结果和权限挂钩：
- 状态良好： 按正常权限访问；
- 状态存疑： 限制访问范围，或要求先修复；
- 状态不合规： 拒绝接入，并提示处置方法。
两类设备，两种思路
- 能装客户端的设备（电脑、手机）： 可以在设备上直接检测状态，结合身份一起判断。
- 不能装客户端的设备（打印机、PLC、自助终端等）： 无法在设备上做检测，只能从网络侧通过设备特征识别，并限定其访问范围。
这两种做法在方案里各有对应。统一身份认证准入平台的安全准入包括终端识别、环境检测、访问控制、策略管理与动态准入，覆盖 PC、移动终端、专用终端；可信接入防护则面向哑终端和专用设备，通过非侵入式识别、软硬件指纹识别设备，再以白名单访问控制限定访问范围，并留存审计记录。前者偏“人 + 终端”，后者偏“设备本身”，可以根据业务环境组合选择。
小结
- 账号可信不等于设备可信，零信任要“人”和“设备”一起验证。
- 接入前检查识别、状态、环境、范围四类内容，并让结果直接影响权限。
- 能装客户端和不能装客户端的设备，需要两种不同的做法。