去年冬天，我去南京一家做智能硬件的公司聊事。IT 负责人老周给我看了一张拓扑图，画得挺漂亮，零信任网关、微隔离、态势感知，一样不缺。然后他叹了口气：这套东西上线四个月，员工最常用的一招还是把密码写在便签上，贴在显示器右下角。
不稀奇。零信任这词喊了好几年，真正卡住大家的从来不是“要不要信”，而是“你到底是谁”这件事，在系统里压根对不上号。
身份源头是一笔烂账
很多团队一上来就讨论网关选型、策略引擎、SDP 还是 NIST 那套，听着很专业。可你问他一句：公司现在有多少个账号体系？多半答不上来。
HR 系统有一套，AD 有一套，钉钉/飞书一套，自建 OA 一套，某些老系统还自己养着一张 user 表。外包同学的账号挂在哪？没人知道。离职半年了还能登录测试环境——这种事我听过不止三次。
所以零信任的第一刀，不是砍网络边界，是砍身份孤岛。挑一个权威源，只挑一个。多数公司选 HR 系统，因为它管着“入职”和“离职”这两个真正有意义的动作。AD 或者 LDAP 做同步的下游，不做权威。飞书、钉钉这些当登录入口可以，但别让它们成为唯一事实。
这一步有个坑：老系统改造成本高，接口老得掉牙。我的建议是别硬啃，先给它套一层身份代理，用统一认证网关挡在前面。脏活，但快。
认证强度分级，比堆 MFA 有用得多
我见过最惨的落地方式，是全员全系统强制短信验证码。销售在高铁上信号一格，登不上报销系统，直接在群里骂娘。运维扛不住，偷偷把策略回滚了。零信任就这么死在了第二次迭代。
正确的做法是分级。看公告栏里的通知，普通密码就行；查代码仓库、生产数据库、财务凭证，才上强认证，甚至要求硬件密钥。判断维度不止资源敏感度，还有上下文——设备是不是公司注册过的、IP 是不是常用区域、登录时间是不是凌晨三点。这些信号凑在一起，比单纯的“多一道验证码”聪明太多。
还有一点很多人忽略：认证不是登录那一刻的事。会话建立之后要持续评估。令牌给短一点，十分钟二十分钟，刷新走后台。用户感知不到，风险窗口却小了一大截。老实说，这块做扎实，比买最贵的网关有用。
机器身份基本没人管
人的账号吵得凶，机器账号没人问。CI/CD 流水线里的静态密钥、定时任务里硬编码的密码、微服务之间的裸调用……这些才是横向移动的高速公路。
解决方案不新鲜：短期证书、SPIFFE 这类工作负载身份、密钥托管。麻烦在于改造要动业务代码，排期永远排在后面。我的经验是，把它当成一次技术债清账，按服务重要性分批做，别指望一口气换完。
落地清单其实就那么几件事
一张表，先拉出来：所有系统、账号来源、当前认证方式、负责人。很多团队做到一半就崩溃了，因为系统数量超过两百个。崩溃是好事，说明你终于看见全貌了。
接着才是：定权威源 → 身份代理接老系统 → 按敏感度分三档策略 → 选一个部门灰度两周 → 盯登录失败率和工单量。失败率是第一指标，超过百分之三就得停下来看。别硬推。
还有个特别现实的问题：谁负责？安全团队定策略，IT 做接入，业务方要配合改权限申请流程。三方扯皮的时候，这事就停摆了。找个有话语权的人挂名项目 owner，比任何架构图都管用。
不过话说回来，零信任的身份认证落地，到最后拼的不是产品参数表，是流程和耐心。老周那家公司后来砍掉了两个厂商中的一个，重新做了身份梳理，三个月后便签纸确实少了很多。没清零。少了很多，这已经算赢了。