分享一个真实的Beyond Zero部署经历

公司去年底突然通知，要把原来的VPN和远程接入方案换成Google的Beyond Zero。谁都知道零信任是趋势，但真落地起来，完全不是看几篇白皮书那么回事。

一、部署阶段：先自己踩坑

我们团队负责第一批试点，选了20个核心研发。Beyond Zero核心逻辑是“永不信任、始终验证”，意味着每个访问请求都要通过上下文（设备、身份、行为）来判断。Google给的管理后台叫BeyondCorp Enterprise，配置项多到让人头皮发麻。

最头疼的是集成我们自己的IDP（公司自建LDAP）。文档里写了一大堆OIDC和SAML配置，光证书匹配就搞了三天，反复报错"token validation failed"。后来发现是Google要求id_token必须携带特定claim（如用户组），而我们的LDAP默认不输出这些字段——纯属协议细节的坑。

# 最终在LDAP attributes里加了个映射
claim_mapping:
  groups: "memberOf"
  roles: "employeeType"

另外，有些老内部系统还用TCP端口直连（比如监控脚本），Beyond Zero默认只支持HTTP/HTTPS和SSH，那些TCP端口要么拆掉重写，要么用Google的TCP forwarding隧道，但又要额外配置。这个迁移成本被严重低估了。

二、效果：确实比传统VPN强

搞完头一个月，最明显的体感是：员工不再需要打开VPN客户端。只要设备合规（系统版本、补丁、公司证书），在任何网络下都能直接访问权限内的资源。对于需要频繁出差或在家办公的同事，这确实省事。而且权限下放粒度可以精确到某个API的某个方法，比以前的IP白名单好管理。

更重要的是，我们把内部几个大模型推理服务（跑在公司集群上的Chat-like应用）也纳入了访问策略。原来怕外泄只能架在内网，现在通过Beyond Zero做身份校验，直接开放给合作方测试——这对推进AI项目落地很有帮助。

三、阻力：部门信任问题

最大的阻力不是技术，而是安全团队的“习惯”。原来靠着网络边界（IP段、防火墙），大家心理上有“一块领地”的感觉。换成零信任后，每个请求都要被审计，安全组的同事反而觉得压力大——出了问题查日志更复杂。我们开了好几次学习会，把Google的零信任文档翻译成内部话术，才把核心概念对齐。另外，员工端也有抱怨：必须要装Device Client，还要定期扫描系统文件，有些人觉得隐私被冒犯。

总的来说，Beyond Zero这套方案上限很高，迁移成本也不低，尤其对于有大量非HTTP遗留系统的公司。但如果你已经在用Google Cloud，考虑AI应用的安全暴露面扩张，它确实值得花时间研究。毕竟，安全不是修一个边门，是改变整栋楼的进出逻辑。