#访问认证

认证回答“请求者是谁”，访问授权回答“该身份能访问什么”。公网入口只配置可以接受哪些认证方式，不在这里选择具体用户或凭据；具体主体统一在 访问授权 中选择。Web 请求必须同时匹配认证方式、访问授权和可选的来源 IP 条件。

#配置与授权怎么配合

若访问授权中先选择某凭据，资源选择器只显示同时支持该凭据方式的公网入口。反过来，编辑入口并移除仍被已启用授权使用的认证方式时，保存会被阻止并列出冲突规则；先迁移或停用授权，再改变入口认证方式。

#推荐配置顺序

1. 在 人员身份或 工作负载凭据创建并验证认证材料。
2. 在 公网入口 → Web 应用只勾选该入口允许接受的认证方式。
3. 在 访问授权选择具体人员、工作负载凭据或匿名主体，再选择入口资源。
4. 分别验证合法认证且已授权、合法认证但未授权、无效认证三条路径。

#OIDC

为浏览器 L7 入口配置 issuer、client ID、回调和必要 scope。回调 URL 必须与身份提供方完全一致；将 OIDC 用户/组映射为访问授权主体。同一入口不要混用无法唯一解释的多个 issuer 身份。

配置顺序：先创建并验证 OIDC 提供方，再在公网入口勾选 OIDC 作为可接受认证方式，最后在 访问授权中选择准确的组织、角色或用户。只完成前两步不会自动授予任何资源。入口只支持一个可以明确解析的 OIDC 提供方；缺失或存在歧义时列表会显示不可用状态。

#客户端证书 CA

mTLS 适合受管理机器。选择托管或外部 CA，明确谁保管 CA 私钥、如何签发、轮换、吊销与分发 CRL。入口验证证书链只证明证书有效，仍需把对应工作负载凭据加入访问授权。

#完全公开

“完全公开”不等于保存后立即放行。只有明确把匿名主体加入访问授权并满足来源 IP 等条件，请求才可通过。它不能与 OIDC 或工作负载认证方式混用；临时公开入口应设置到期复核并监控异常流量。

#变更验证

每次认证变更至少验证：合法身份成功、无凭据失败、错误 issuer/证书失败、已吊销凭据失败、未授权但认证有效的身份失败、错误来源 IP 失败，以及后端无法绕过 NSGW 直连。配置变更、凭据轮换和授权变更是三个独立事件，活动日志应能分别定位。