# Zero Trust

> Use when working with zero trust security — mTLS, OPA, identity verification, least privilege

- Skill: `liaosw97/zero-trust` (Agent Skill, multi-file: 2 files)
- Install (CLI): `npx skillmds@latest add liaosw97/zero-trust`
- Raw SKILL.md: https://api.skillmd.com/api/skills/liaosw97/zero-trust/raw
- Safety review: pending
- Works with: Claude Code, Claude.ai, OpenAI Codex
- Category: Security
- Author: liaosw97 (https://skillmd.com/u/liaosw97)
- Updated: 2026-09-22
- Page: https://skillmd.com/skills/liaosw97/zero-trust

---


## 核心原则
- 零信任架构：永不信任，始终验证
- 最小权限原则：仅授予完成任务所需的最小权限
- 纵深防御：多层级安全控制叠加
- 持续验证：动态评估和调整安全策略

## 技术栈
- 身份认证：SPIFFE/SPIRE、OIDC、mTLS
- 策略引擎：Open Policy Agent(OPA)、Kyverno
- 容器安全：Trivy、Falco、gVisor、Kata Containers
- 密钥管理：HashiCorp Vault、Sealed Secrets、External Secrets
- 网络安全：Network Policies、Service Mesh、Cilium
- 运行时安全：Falco、Sysdig、Aqua Runtime

## 最佳实践
1. **镜像安全**：使用最小化基础镜像，定期扫描漏洞，签名验证镜像
2. **Pod安全**：实施Pod Security Standards，限制特权容器
3. **网络隔离**：配置网络策略，实现微分段隔离
4. **密钥管理**：避免硬编码密钥，使用外部密钥管理系统
5. **审计日志**：启用API Server审计，集中收集和分析日志

## 关键约定
1. **身份认证**：实现mTLS双向认证，确保服务身份可信
2. **最小权限**：规范RBAC策略，定期审查权限分配
3. **持续验证**：建立动态访问控制，支持实时策略更新
4. **数据加密**：统一传输和存储加密，保护敏感数据
5. **审计追踪**：完善安全日志收集，支持合规审计