零信任架构是一种以身份为中心的安全设计理念，其核心目标是实现持续验证、动态授权和全局防御。架构通常划分为策略执行层、策略控制层和安全管理层三个逻辑层，每一层承担不同的功能，并通过相互协作保障企业网络安全。

策略执行层

策略执行层主要部署终端访问和控制组件，如SDP网关和SDP客户端：

SDP网关：位于企业网络边界，负责接入控制。它与策略控制层协同工作，对终端用户进行持续认证，实现动态访问控制。

SDP客户端：安装在用户终端上，用于实时感知终端状态、检测环境变化，并将信息上报给安全管理层。同时，它也负责执行下发的安全策略。

这一层是零信任架构中直接与用户和设备交互的前线，实现策略落地和持续监测。

策略控制层

策略控制层负责身份验证和访问策略执行，包括以下关键组件：

认证服务器：统一管理企业人员身份信息，实现身份验证、用户令牌管理、组织机构管理和应用令牌核验等功能。

控制引擎：负责对业务请求进行动态鉴权。它根据用户安全等级和风险评估结果，实时调整访问权限，实现精细化控制。

控制层的作用是将策略和安全规则智能化、动态化，使访问权限随安全状态的变化而调整。

安全管理层

安全管理层主要承担终端和网络风险分析与整体策略管理，其核心组件包括：

iMaster NCE-HisecInsight：接收来自SDP客户端的终端状态信息，进行实时安全评估，识别风险和异常。

iMaster NCE-Campus：根据风险评估结果，动态调整用户访问权限，并向SDP网关下发放通或阻断策略，保证企业网络安全。

安全管理层通过实时数据分析，实现全局威胁感知与策略智能下发，是零信任架构的“大脑”。

零信任实施策略

企业在部署零信任时需根据规模和业务需求选择不同方案。以中小企业为例，常见挑战包括：

员工远程办公环境复杂，存在不可控风险。

缺乏基于行为的动态权限调整机制。

预算有限，单台SDP网关性能有限，难以弹性扩展。

针对这些痛点，可以采取以下解决方案：

利用共活部署模式，将不同应用发布在多个安全网关上，实现灵活接入。

实时感知终端和网络风险，动态调整访问权限，确保安全访问。

网关同时具备防火墙、DDoS防护、入侵防御（IPS）、防病毒（AV）及URL过滤能力，保障内部服务器和上网安全。

通过上述架构与部署方式，企业可以在有限预算下构建高效、灵活且安全的零信任网络，实现远程办公与业务访问的安全保障。