当今 IT 行业有许多不同的零信任架构 (ZTA) 定义、实施模式和影响。 虽然 Esri 无法为给定组织定义或实施 ZTA 策略，但 ArcGIS 是一套在 IT 环境中运行的软件和工具，并且正日益受到 ZTA 可能实施的约束、规则和策略的制约。 下面介绍了将 ArcGIS 与 ZTA 结合使用的一些注意事项。
ArcGIS 系统从软件架构的角度进行设计，依赖于某些网络访问、开放性和兼容性假设，这种方法也称为隐式信任。 使用这种设计方法时，如果没有仔细了解组织的 ZTA 策略以及明确的规划和实施方法，将 ArcGIS 部署到 ZTA 环境中可能会带来挑战或功能限制。
Esri 已经并将继续努力满足每个软件版本中对 ZTA 就绪部署模式的需求。 ArcGIS 目前在许多方面都支持类似 ZTA 的安全态势，因为该软件可以配置为要求所有用户进行身份验证、仔细管理权限并在查看或访问数据之前对远程应用程序或客户端的所有用户进行身份验证。 组织必须在仔细审查和考虑后确定这种现有的安全态势是否足以满足特定组织的安全要求。
在实践中，大多数组织使用新策略**、新技术和新网络架构的组合来实施 ZTA。 通常，这涉及摆脱广域网 (WAN) 风格的网络部署，在这种方式中，同一网络上的系统之间的通信在很大程度上是开放且不受限制的，并且身份验证使用应用程序特定协议和工具进行管理。 这种传统的网络方法依赖于保护网络边界，这可以有效抵御某些威胁，但可能会使网络的其余部分容易受到能够突破安全边界的外部攻击者的攻击。
ZTA 的运行基于以下假设：先前的这种大部分开放的网络访问模式从根本上说是不安全的。 它建议应以比以往更频繁、更仔细以及在更多地方对用户、设备、应用程序和服务进行身份验证。 ZTA 的常见目标之一是在有限的持续时间内为系统的两个组件或用户之间发生的所有网络活动实现最低权限会话。 可以使用一系列策略和技术方法来实现这一目标，最终，每个组织都有责任为 ZTA 定义专用设计，重新构建以符合此设计，并随着时间的推移监测合规性。
ArcGIS Online 作为软件即服务产品，通常不在 ZTA 的定义范围内。 这是因为该系统的安全和控制由作为供应商的 Esri 负责，并且该系统的用户依赖于他们对 Esri 的信任以及签订的协议来实现这些目标。
在 SaaS 系统中，所有用户只能使用对已知且安全的 REST 端点的 HTTPS 请求来访问 ArcGIS Online，而无权访问后端系统、托管它们的网络或任何其他受保护的资源。 Esri 为 ArcGIS Online 提供了安全基准以及各种安全或权限设置，可以配置这些设置以满足每个组织在 SaaS 系统中的安全需求，从限制默认用户访问到控制权限和内容共享。
ArcGIS Pro 是一款 Windows 桌面应用程序，用于各种数据分析、编辑和可视化工作流。 在这些工作流中，ArcGIS Pro 通常连接到可分为三类的数据集：
每当这些连接需要身份验证时，ArcGIS Pro 必须了解身份验证标准并专门支持该标准，以便用户可以连接到该数据位置。 该软件目前支持各种身份验证模式，从数据库用户到企业身份或操作系统身份验证、访问密钥和密钥、服务账户凭据等。 ZTA 通常会为存储系统实施新的和更复杂的身份验证要求，例如多因素用户身份验证或取消对无头服务账户或专用数据访问账户的支持。 要考虑对 ArcGIS 用户的潜在影响，必须仔细考虑在数据库、文件系统、Web 服务或其他数据存储系统上实施 ZTA 安全控制。
ArcGIS Pro 在与 ArcGIS Enterprise、ArcGIS Online 或其他外部 Web 服务通信时也会发出 HTTPS 请求。 当这些请求以意外方式或使用类浏览器 ZTA 强制模式（例如基于 Cookie 的会话管理）进行保护时，ArcGIS Pro 可能无法连接到这些端点，因为它目前仅支持一组已知且经过仔细测试的 HTTPS 请求安全访问模式。
其他 ArcGIS Desktop 应用程序（例如 ArcGIS Drone2Map、ArcGIS Earth、ArcGIS AllSource、Survey123 或 Insights Desktop）也可能受到 ZTA 架构决策的影响。 所有这些应用程序使用基于 HTTPS 的连接来查询和可视化数据，因此相关的警告或担忧是相同的。
移动设备和应用程序安全是一个丰富、复杂且具有挑战性的网络安全领域。 随着移动应用程序工作流程的主流采用，以及员工和企业环境成员个人使用的增加，它的重要性也随之增加。 常见的移动安全主题包括企业移动管理 (EMM)、设备注册、端点管理、流量管理、移动设备管理 (MDM)、移动应用程序管理 (MAM) 等。 各种供应商解决方案还帮助或旨在支持提高移动工作流程的安全性，以及提供基于用户和基于行为的控制以帮助预防此类问题。
虽然移动设备可以支持设备级和应用程序级 VPN 或类似功能，但 VPN 作为网络安全解决方案的概念在 ZTA 中受到质疑，许多移动应用程序都希望存在面向 Internet 的服务，因此可以从公共无线信号和不同位置访问它们。
ZTA 通常是为移动设备工作流实现的，需要将基于设备的身份验证、设备注册和持续访问监测进行某种组合。 这些控件通常在移动操作系统级别实施，ArcGIS 移动应用程序可能可以访问，也可能无法访问。 例如，可以使用 Azure Entra ID 注册设备，然后可以在允许通过 Azure AD 进行身份验证之前将其用作条件检查，但如果 ArcGIS 移动应用程序不知道该要求或如何访问设备注册信息，则不会将其发送到 Entra ID 端点，并且身份验证可能会失败。
ArcGIS Enterprise 是一组基于服务器的 Web 应用程序和 Web 服务，用户可以通过来自客户端的 HTTPS 请求进行访问，无论该客户端是浏览器、移动应用程序还是桌面应用程序。 虽然前面部分讨论了对这些客户端的影响，但 ArcGIS Enterprise 本身也可能受到 ZTA 配置的影响。 例如，如果系统策略要求对所有内部网络请求进行身份验证，则该策略可以包括所有 ArcGIS Enterprise 组件到组件请求，这些请求要么由 ArcGIS 管理的令牌和密钥保护，要么由用户和密码身份验证保护。 如果网络设计为过滤所有内部网络请求，以请求特定的证书、密钥或标头，则这些内部组件请求可能会被阻止并失败。
上述影响强调了了解任何 Zero Trust 实施的具体细节的重要性，以便为其对 ArcGIS 组件的潜在影响做好准备。 要使用 ArcGIS 实现零信任要求，一种方法是考虑系统的现有安全态势，即所有用户请求都通过 ArcGIS 令牌单独进行身份验证，这是一种强大的机制，并充分验证用户活动以达到此标准。
用作零信任架构控制一部分的常用技术是身份感知代理。 虽然此模式可能会实现基于浏览器的流量的某些目标，但它可能会干扰从 ArcGIS Pro 或移动应用程序对 ArcGIS Enterprise 的访问。