从网络位置转向资源访问
零信任架构通常简称ZTA。NIST在2020年发布的SP 800-207把它描述为运用零信任原则规划基础设施与工作流程的方式。防护重点从宽泛的网络边界移向具体用户、设备、服务和资源；远程办公、个人设备及云服务使“在内网所以可信”的假设更难成立。
零信任并非否认一切信任，而是否定仅凭物理位置、网络位置或设备归属就给予隐含信任。访问应围绕主体身份、请求资源和相应策略作出判断。身份认证回答主体是谁，授权回答它能否执行某项访问，两者不能互相替代；成功登录也不应自动变成对所有资源的长期通行证。
决定与执行的分工
NIST参考模型把策略决定点分为策略引擎和策略管理器。策略引擎结合组织策略及相关信息，决定允许、拒绝或撤销访问；策略管理器把决定转成实际控制，例如向执行点发出建立或终止通信路径的指令，并处理会话所需凭据。
策略执行点位于访问路径上，负责启用、监测以及终止主体与资源之间的连接。决定点作判断，执行点落实判断；若只有后台策略计算，却没有约束实际连接的执行机制，就不能形成完整访问控制。
这些是逻辑职责，不要求各自对应一台独立机器。一个产品可以承担多个角色，一个角色也可能分布在多个系统中。身份管理、终端防护、威胁情报和活动日志等支持组件提供决策信息，但信息的新鲜度和可信程度仍会影响判断质量。
远程设备访问的例子
设员工从家中使用笔记本访问一份内部设计文档。系统不仅核验员工账号，还可结合设备状态、所请求文档和操作权限决定是否允许访问。例如，获准阅读某文档，不等于获准修改全部项目资料；同一员工换用状态不明的设备，也可能得到不同决定。
这一例子展示的是参考架构的应用方式，并非规定所有组织必须使用相同检查清单。符合策略的请求通过执行点建立访问，相关活动和终端状态继续作为信息反馈。若设备后来出现风险信号或权限被收回，策略引擎可以重新评估，由管理器和执行点调整或终止连接。
持续评估不是要求用户每次操作都手工输入密码，而是使授权不只依赖最初一次判断。具体触发条件、会话范围及重新认证方式，应由资源风险和组织策略确定；仅把登录页面加上多因素认证，并不能自动覆盖后续访问过程。
不是产品套餐，也不是零风险
加密保护通信内容，却不能单独决定谁有权读取哪项资源；网络分段也不能代替身份和权限管理。NIST的部署资料展示了不同架构组合，说明零信任是一组可落实的原则和职责，而非购买某个网关或采用某一厂商名称即告完成。
系统仍依赖身份、策略、终端信息和执行组件正确工作。若身份被冒用、状态信息错误或执行点被绕过，访问决策就可能失效。资产发现、权限梳理和运行监测因此仍是必要工作。零信任旨在减少不恰当的默认信任和扩大访问，并不承诺消除全部攻击或取代其他安全措施。