门卫、裁判、规则管理员：用通俗比喻拆解零信任里的 PEP、PDP 与 PA，并对照说明统一策略引擎与安全准入各自的位置。
读零信任架构资料，常会撞上三个缩写：PEP、PDP、PA。它们听起来像三个高冷的部门，其实对应的是日常里很熟悉的三种角色。
先用一个小区门禁来理解
想象你住的小区：
- 门卫 站在门口，负责放行或拦下。
- 物业规则 写着“谁可以进、什么时候、去哪栋”。
- 值班主管 看到来访者后，对照规则判断，再通知门卫开门。
零信任里的三个组件，与它们一一对应。
三个组件，各管一件事
PEP：策略执行点，门卫
PEP（Policy Enforcement Point）是真正动手的人。它位于用户和业务资源之间，负责：
- 拦截访问请求；
- 把请求交给决策方判断；
- 按结果放行、拒绝或中断访问。
它自己不“想”，只“做”。
PDP：策略决策点，裁判
PDP（Policy Decision Point）负责判断。它收到请求后，综合多种信息得出结论：
- 访问者是谁，身份是否可信；
- 使用的设备状态怎样；
- 请求访问哪项资源，权限是否允许；
- 当前环境和行为有没有异常。
PA：策略管理器，规则管理员
在 NIST 的框架里，PDP 又由两部分组成：策略引擎负责作出决定，**策略管理器（PA）**负责把决定转成具体的通行指令，并通知 PEP 执行。通俗地说，PA 是把“可以进”变成“这张通行证、有效期多久”的那位管理员。
为什么要拆成三个
分开之后有三个好处：
- 规则统一： 规则集中在决策层，不必在每个入口各写一套。
- 入口灵活： 执行层可以分布在不同入口，新增入口只需接入决策层。
- 易于审计： 谁决定的、依据什么，都能追溯。
落到产品上，这种拆分很常见。比如统一身份认证准入平台的底座就是统一认证服务加统一策略引擎，规则集中管理，准入与访问控制在访问发生时执行，访问日志与审计让每一次判断都有记录可查；对于无法安装安全客户端的设备，可信接入防护则在网络侧完成设备识别与访问控制，相当于把“门卫”设在网络入口。
小结
- PEP 是门卫，负责执行；PDP 是裁判，负责判断；PA 是管理员，负责把决定变成通行指令。
- 决策与执行分离，带来规则统一、入口灵活、便于审计。