访问网关 Access Gateway

不改代码，把内网系统接进统一身份

以反向代理方式前置在应用之前，为不支持联邦协议的遗留系统提供 SSO、MFA 与访问策略，逐步替代 VPN 的粗放访问。

企业里总有一批「不能改」的系统：厂商交付的成品软件、停更的内部工具、只支持表单登录的老门户。它们往往也是权限最混乱的地方。

工作方式

网关部署在应用同侧，用户访问时先经过 Okta 完成认证，再由网关把身份以 Header 或会话形式注入应用。应用看到的仍是熟悉的登录态，但认证强度与策略已经由平台统一接管。