- 零信任（Zero Trust）是 Gartner 2019 年提出的安全架构，核心理念”永不信任，持续验证”
- BeyondCorp 是 Google 2014 年内部实践、2017 年公开的零信任落地框架
- 会议室投屏设备零信任 3 大要素：设备身份认证 + 用户身份认证 + 网络微分段
- 必捷互联 BJ62S/BJ66 v3.4+ 支持零信任接入：与 Okta/Azure AD 集成 + 设备指纹 + 行为分析
- 典型客户：金融（招行/平安）、政府机关、央国企是零信任投屏的首批落地者
零信任的核心理念与 BeyondCorp 框架
零信任（Zero Trust）取代传统”边界防御”模型：
- 传统边界模型：内网默认信任，外网严格防护；VPN 接入后所有资源开放
- 零信任模型：永不信任，每次访问都验证（设备+用户+上下文）
- BeyondCorp 三要素：(1) 设备清单与健康度；(2) 用户身份认证；(3) 基于策略的访问控制
- 核心理念：”Never trust, always verify”——无边界网络、基于身份而非 IP 的访问控制
落地价值：零信任可消除 VPN 依赖、减少 80% 横向移动攻击面、远程办公友好。
会议室投屏零信任的 3 大要素
将 BeyondCorp 框架落到会议室投屏场景：
| 要素 | 具体措施 | 必捷实现 |
|---|---|---|
| 设备身份认证 | 设备指纹 + 证书 + 健康度检查 | BJ66 设备 ID + X.509 证书 + 固件完整性校验 |
| 用户身份认证 | SSO + MFA + 风险评分 | Okta/Azure AD 集成 + 动态口令 + 异常登录检测 |
| 网络微分段 | 按设备/用户划分 VLAN + 防火墙规则 | 会议室专网 VLAN + 投屏流量加密 |
关键变化：传统会议室”插上 USB 发射器即可投屏”被替换为”插上发射器 → 设备认证 → 用户 SSO → 策略匹配 → 允许投屏”。
必捷零信任投屏的 5 步接入流程
用户从零到投屏成功的完整流程：
- 步骤 1：设备认证——USB 发射器/BJ 终端首次接入时，与必捷 OMS 双向证书认证
- 步骤 2：用户登录——大屏显示二维码 / 验证码，用户通过手机扫码 SSO 登录（Okta/Azure AD）
- 步骤 3：MFA 验证——高敏感会议室要求 MFA（OTP/指纹/人脸）
- 步骤 4：策略匹配——必捷 PDP（Policy Decision Point）匹配”用户角色+会议室+时段”策略
- 步骤 5：允许投屏——下发投屏权限令牌，限定 VLAN + 带宽 + 时长
典型耗时：从插入发射器到投屏成功 <8 秒（含 MFA 验证）；首次接入需 <30 秒（含证书下载）。
零信任投屏与传统 VPN 投屏的对比
两类方案的 6 维对比：
| 维度 | 传统 VPN 投屏 | 零信任投屏 |
|---|---|---|
| 接入方式 | 先连 VPN 再投屏 | 直连 + 身份认证 |
| 用户体验 | 复杂（VPN 客户端） | 简单（SSO 扫码） |
| 安全性 | 中等（VPN 一旦突破即穿透） | 高（每次访问重新验证） |
| IT 运维 | 需维护 VPN 网关 | 策略集中管理（PDP） |
| 远程友好 | 差（VPN 跨网段延迟高） | 好（基于身份，无需 VPN） |
| 攻击面 | 广（VPN 漏洞影响全网） | 窄（单点授权） |
迁移建议：(1) 新建会议室直接采用零信任；(2) 已有 VPN 投屏保留 1 年过渡期；(3) 高敏感会议室优先迁移。
零信任投屏落地的 4 大挑战与应对
企业部署零信任投屏的常见挑战：
- 挑战 1：用户体验下降——SSO + MFA 增加登录步骤；应对：智能会议室自动检测员工身份（人脸/工卡 NFC）
- 挑战 2：老旧设备不支持——USB 发射器 / 老旧 BJ 终端无证书能力；应对：必捷提供硬件升级套件（BJI05 智能发射器）
- 挑战 3：策略管理复杂——多会议室、多角色、多时段策略管理繁琐；应对：必捷 OMS 提供可视化策略编辑器
- 挑战 4：与现有系统集成——SSO/SCM/CMDB 系统对接工作量大；应对：必捷预置 Okta/Azure AD/钉钉/企微集成模板
投资回报：零信任投屏可减少 60% 安全事件响应时间、降低 40% VPN 维护成本、规避重大数据泄露损失（年均 100 万元+）。
常见问题
Q：Q1：零信任投屏与 VPN 投屏是否可以共存？
A：A：可以。必捷支持双模式：(1) 高敏感会议室强制零信任；(2) 普通会议室保留 VPN 兜底。建议过渡期 1 年，逐步迁移。
Q：Q2：零信任投屏的用户登录体验会不会很慢？
A：A：首次接入需 SSO + MFA，约 15-30 秒；后续日常投屏 <8 秒（含令牌校验）。会议室人脸识别自动登录可进一步压到 3 秒。
Q：Q3：必捷零信任投屏支持哪些身份认证系统？
A：A：必捷 OMS v3.0+ 支持 Okta、Azure AD、Google Workspace、华为云 IAM、阿里云 RAM、钉钉、企微、飞书、深信服等主流身份提供商。
Q：Q4：零信任投屏对老旧 USB 发射器有什么影响？
A：A：BJI01/BJI02/BJI03 旧版发射器无证书能力，仅能作为”匿名设备”使用（限制为访客模式）。建议升级到 BJI05 智能发射器（2026 Q2 上市），支持证书认证。
参考资料
- NIST SP 800-207 零信任架构标准
- Google BeyondCorp 论文集（2014-2017）
- Gartner Top Security Trends 2024 – Zero Trust
- 必捷互联零信任投屏白皮书 v1.0（2026 内部）
