谈零信任时，讨论往往从网络开始：微隔离、SDP、SD-WAN。但对多数企业来说，真正被反复利用的入口并不是网络边界，而是分散在各处的登录页。
为什么从身份开始
网络层的策略依赖一个前提：你知道发起访问的是谁。如果身份仍然分散在二十个系统里，每个系统一套账号、一套密码策略，那么任何访问控制都建立在不可靠的假设上。
把身份入口收敛之后，三件事会同时变简单：
- 可见性：第一次能完整回答「某个人现在能访问哪些系统」。
- 策略一致性：MFA、会话时长、设备要求在一处配置，全场景生效。
- 响应速度：账号被盗时，一个动作即可让所有下游会话失效。
收敛的三个层次
1. 认证收敛
用 SSO 把应用接入统一登录。先做高频、低风险的应用，让员工在一周内感受到变化，再推进核心业务系统。
2. 目录收敛
确定权威数据源：以 AD 为主目录，还是以云端目录为主。这个决定会直接影响后续组策略与自动化的复杂度，值得在项目早期就定下来。
3. 策略收敛
把散落在各系统里的密码策略、锁定期、会话时长，统一成若干条可解释的策略模板。策略数量不是越多越好，能被业务理解的策略才会被真正执行。
判断收敛是否成功的标准很简单：新员工入职到能正常办公，需要 IT 介入几次。
常见阻力与应对
最大的阻力通常不是技术，而是「这个系统不能动」。面对无法改造的遗留应用，反向代理网关是务实的折中方案：应用不改代码，但认证已经归口。
其次是体验争议。建议用分批上线 + 受管设备免感认证的策略，把「安全变严」和「操作变麻烦」这两件事拆开处理。
