沿着一次访问的完整旅程，从用户发起请求到身份认证、安全准入、权限控制，再到业务访问与审计，一张图看懂零信任架构。
零信任架构图常常画得密密麻麻，让人望而生畏。其实只要跟着“一次访问”走一遍，就能看懂主干。
先看全貌
这张图的主干只有六个环节。下面逐个说明，每一环回答一个问题。
一次访问的六站旅程
第一站：用户发起请求
员工、管理人员、外部人员等，使用电脑、手机或专用终端，提出“我要访问某个业务”。
第二站：身份认证——你是谁
系统先确认访问者的身份。账号密码是起点，敏感场景可叠加更强的认证方式。身份不明，后面的环节都不会启动。
第三站：安全准入——可不可以进
认证通过后，并不等于放行。系统还要根据安全策略判断：用的是什么终端、环境是否符合要求、当前情况是否异常。
第四站：权限控制——能进到哪里
通过准入后，再按人员、组织与业务需要，确定允许访问的范围。财务人员进财务系统，其他系统与他无关。
第五站：访问业务系统
经过前面的判断，用户才真正到达 OA、ERP、业务应用等目标。这一步只开放该开放的部分。
第六站：安全审计——留下记录
整个过程中，认证、准入、访问等行为都被记录，既支持事后追溯，也为后续优化策略提供依据。
图里的两条“暗线”
除了这条主线，还有两条暗线贯穿始终：
- 统一策略： 每一站的判断标准来自统一管理的策略，避免各处各立规矩。
- 持续评估： 访问不是“一次通过就结束”，状态变化时可以重新判断。
这条主干在统一身份认证准入平台里有对应的落地：围绕链路提供身份管理（账号管理、身份认证、权限管理、组织架构、身份生命周期）、安全准入（终端识别、环境检测、访问控制、策略管理、动态准入）、审计合规（访问日志、操作审计、行为分析、报表统计、合规建设）三类能力，底座由统一认证服务、统一策略引擎和统一运维管理支撑。如果业务里还有无法安装客户端的专用设备，网络侧的可信接入防护可以补上设备这一环。
小结
- 一次访问的主干是六站：用户、身份认证、安全准入、权限控制、业务系统、安全审计。
- 统一策略与持续评估是贯穿全程的两条暗线。
- 看懂这条链路，就看懂了零信任架构图的骨架。