放行与否，不是看一个条件，而是综合身份、终端、权限、环境等多项依据，再按统一策略作出决定。本文拆解这套判断的“依据清单”。
在零信任里，每一次访问都像过一次“安检”。但安检员究竟依据什么放行？如果只能回答“因为密码对了”，那还远远不够。
判断依据：四类信息
系统通常会综合下面几类信息来决定放行与否：
- 你是谁（身份）： 账号是否有效，认证是否通过，属于哪个组织、什么岗位。
- 你用什么（终端）： 设备是否可识别，环境是否符合要求。
- 你要什么（资源与权限）： 要访问的应用是否在授权范围内，权限是否允许此类操作。
- 当下什么情况（上下文）： 时间、地点、网络环境、近期行为是否正常。
其中任何一类出现异常，都可能改变最终结果。
判断是怎么做出来的
- 先收集：从身份系统、终端检测、权限数据与访问记录中取得信息；
- 再对照策略：企业事先定义好的规则，例如“某类业务只允许受管终端访问”；
- 最后作出决定：放行、受限放行、要求补充验证，或拒绝。
这里最关键的是“策略”：它让判断有统一的标准，而不是靠每个系统各自为政。
放到实际系统里，这几步通常是这样串起来的：身份管理（账号、认证、权限、组织架构）与安全准入（终端识别、环境检测）提供判断依据，统一策略引擎集中定义和管理规则，访问控制与动态准入负责落实放行、限制或拒绝，访问日志与操作审计记录每次判断的结果与过程。统一身份认证准入平台的访问链路——用户、身份认证、安全准入、权限控制、业务系统、安全审计——就是按这个顺序设计的。
几个常见的好习惯
- 策略写清楚： 用业务语言描述，例如“谁、在什么条件下、能访问什么”；
- 默认拒绝，按需放行： 没有明确授权的访问，先不放行；
- 结果可解释： 被拒绝时能知道原因，方便用户处理，也方便管理员排查；
- 策略集中管理： 避免同一规则在多处重复配置、前后不一致。
小结
- 放行依据包括身份、终端、权限和上下文四类信息。
- 策略是统一标准：默认拒绝、按需放行、结果可解释。
- 策略集中管理、结果留痕，才能让判断既一致又可追溯。