Implements identity verification for zero-trust architecture using phishing-resistant MFA, continuous authentication, risk-based conditional access, FIDO2/WebAuthn, and IdPs like Azure AD or Okta.
npx claudepluginhub killvxk/cybersecurity-skills-zhThis skill uses the workspace's default tool permissions.
---
Implements zero trust identity verification using FIDO2/WebAuthn MFA, risk-based conditional access, and CISA-aligned governance. For secure auth in enterprise environments.
Implements continuous identity verification for zero trust using FIDO2/WebAuthn MFA, risk-based conditional access, and CISA Zero Trust-aligned governance. For secure enterprise auth setups.
Guides Zero Trust architecture implementation in AWS, Azure, GCP per NIST SP 800-207 and BeyondCorp principles: identity access control, micro-segmentation, continuous verification, device assessment, IAP deployment. Useful for eliminating VPNs, multi-cloud segmentation, compliance.
Share bugs, ideas, or general feedback.
domain: cybersecurity subdomain: zero-trust-architecture author: mahipal tags: [zero-trust, identity, authentication, mfa, identity-verification] difficulty: advanced estimated_time: 4-6 hours prerequisites:
身份是零信任架构（Zero Trust Architecture）的基础支柱。NIST SP 800-207 要求所有资源的身份验证和授权在允许访问之前必须动态执行且严格落实。零信任中的身份验证超越了传统的用户名/密码方式，通过结合设备状态、行为生物特征、位置和网络上下文等多维信号，实现持续的、风险自适应的身份验证。
本技能涵盖实施抗钓鱼的多因素认证（MFA）、持续身份验证、基于风险的条件访问，以及符合 CISA 零信任成熟度模型（Zero Trust Maturity Model）身份支柱的身份治理。
用户访问请求
│
v
┌───────────────────────┐
│ 主要身份验证 │
│ - FIDO2/WebAuthn 密钥 │
│ - 基于证书的身份验证 │
│ - 无密码身份验证 │
└──────────┬────────────┘
v
┌───────────────────────┐
│ 上下文评估 │
│ - 设备状态 │
│ - 网络位置 │
│ - 地理速度检查 │
│ - 访问时间 │
│ - 行为基线 │
└──────────┬────────────┘
v
┌───────────────────────┐
│ 风险评分引擎 │
│ - 聚合信号 │
│ - 计算风险评分 │
│ - 与阈值比较 │
└───┬──────────┬────────┘
│ │
低风险 高风险
│ │
v v
┌────────┐ ┌──────────────┐
│ 授予 │ │ 升级身份验证 │
│ 访问 │ │ - 硬件密钥 │
│ │ │ - 生物特征 │
│ │ │ - 管理员审批 │
└────────┘ └──────────────┘
FIDO2/WebAuthn 通过将身份验证绑定到源域，消除了可被钓鱼的凭据。硬件安全密钥和平台身份验证器提供无需传输秘密的加密身份证明。
与在会话开始时一次性验证不同，零信任要求通过会话令牌评估、行为分析以及基于风险信号的定期重新验证挑战进行持续验证。
条件访问策略评估多维信号（用户风险等级、登录风险、设备合规性、位置），动态调整身份验证要求和访问授权。
AI 驱动的分析通过不可能行程检测、异常登录模式、凭据填充检测和令牌重放攻击来检测被攻陷的身份。
整合身份提供商
部署抗钓鱼 MFA
配置条件访问策略
启用身份威胁检测
实施升级身份验证
部署持续访问评估（CAE）
实施会话控制
自动化身份生命周期
实施访问审查