NIST SP 800-207 是零信任领域最常被引用的参考框架。本文用大白话讲清它规定了什么、没规定什么，以及企业该怎样对照使用。
只要聊零信任架构，几乎绕不开一个编号：NIST SP 800-207。它像一本“公共词典”，让企业、厂商和监管方在谈零信任时说同一种语言。可它到底规定了什么？
它是什么，又不是什么
NIST（美国国家标准与技术研究院）在 2020 年发布了《零信任架构》。需要先说清两点：
- 它是参考框架，讲的是概念、组件和部署思路，而不是某个产品的技术规范。
- 它不是认证清单，没有“符合 800-207 就算达标”的说法，不同企业需要结合自己的环境落地。
它的核心想法：把信任从“位置”换成“每次访问”
标准的基调与我们前面讲的一致：不再把“在内网”当作信任依据，保护的重点转向用户、设备和资源本身。它给出的基本原则，用大白话概括有这么几条：
- 企业里的数据、应用和服务，都当作需要保护的资源。
- 不管访问来自内网还是外网，通信都要受到保护。
- 访问授权按“一次会话”给，而不是一次放行长期有效。
- 是否放行，由策略动态决定，参考身份、设备状态、环境等信息。
- 持续观察设备和资源的安全状态。
- 认证和授权在访问发生之前严格执行。
- 尽可能多地收集访问相关的信息，用来改进策略。
三个核心逻辑组件
标准把“放行与否”拆成几个角色，我们用门禁来比喻：
- 策略引擎（PE）： 裁判，依据规则和证据作出“允许或拒绝”的决定。
- 策略管理器（PA）： 管理员，把裁判的决定转成具体的通行凭证或指令。
- 策略执行点（PEP）： 门卫，真正把门打开或关上。
其中 PE 与 PA 合起来，通常称为策略决策点（PDP）。这种“决策与执行分开”的设计，让策略可以集中管理，执行则可以分布在各个入口。
它给出的几种落地思路
标准并没有规定“只能这样做”，而是列举了几类常见思路：以身份治理为中心、以网络分段限制范围、以软件定义边界隐藏入口。企业可以组合使用，通常从最关键的业务开始。
以身份治理为中心的做法，常见的起点是把统一认证服务和统一策略引擎作为底座，上层再叠加身份管理、安全准入和审计合规三类能力。统一身份认证准入平台就是这样的结构，与标准里“策略集中、执行分布”的想法是相通的：策略统一制定与管理，终端识别、环境检测与动态准入负责执行，访问日志与审计则把结果留作改进的依据。
小结
- NIST SP 800-207 是参考框架，不是产品规范，也不是认证清单。
- 核心是让每次访问都经过策略判断，并把决策与执行分开。
- 企业可以结合身份治理、网络分段、边界隐藏等思路，分步落地。