你真的弄懂了IAM嗎？重新全面認(rèn)識(shí)一下！

簡(jiǎn)單說(shuō)，IAM只做兩件事：

1、身份證明和確認(rèn)；

2、授予權(quán)限以訪問(wèn)資源。

用個(gè)形象的比喻，IAM就好比當(dāng)我們要進(jìn)入一棟大樓，這時(shí)候我們需要先出示身份證明來(lái)驗(yàn)證我們的身份，然后才能進(jìn)入大樓。

大樓的管理員會(huì)將你的身份和權(quán)限進(jìn)行管理和控制，確保只有經(jīng)過(guò)授權(quán)的人才可以進(jìn)入特定區(qū)域或使用特定資源。管理員會(huì)根據(jù)你的身份和需要給你分配不同的門(mén)禁卡，以控制你能夠進(jìn)入哪些房間或樓層。

這個(gè)比喻中的大樓就好比企業(yè)內(nèi)生的數(shù)字世界，每一層樓或房間代表著企業(yè)各個(gè)信息化、數(shù)字化系統(tǒng)與資源，甚至可以不斷細(xì)化到某個(gè)系統(tǒng)的某個(gè)菜單下的某個(gè)功能或某個(gè)資源等；在某些特定場(chǎng)景下還需要更加深入到數(shù)據(jù)級(jí)的行和列的控制。

身份與訪問(wèn)控制管理（IAM）系統(tǒng)就是大樓的管理系統(tǒng)。它負(fù)責(zé)創(chuàng)建、驗(yàn)證和管理用戶的身份信息，并分配和控制他們的訪問(wèn)權(quán)限。

它可以確保只有經(jīng)過(guò)身份驗(yàn)證和授權(quán)的人才能訪問(wèn)到需要的資源，同時(shí)記錄和監(jiān)控他們整個(gè)訪問(wèn)行為，以便進(jìn)行安全審計(jì)和合規(guī)性檢查。

那企業(yè)IAM系統(tǒng)究竟是怎么去管理這些要進(jìn)入企業(yè)數(shù)字世界的身份和對(duì)應(yīng)的訪問(wèn)權(quán)限呢？這就要回到IAM本身進(jìn)行解答。

首先，我們來(lái)看看IAM的定義，英文名稱：Identity and Access Management，中文譯為身份和訪問(wèn)控制管理。

字面可拆解為身份+身份管理+訪問(wèn)控制管理。那什么是身份？什么是身份管理？什么又是訪問(wèn)控制？

身份（Identity），即一個(gè)人或?qū)嶓w在特定環(huán)境中被識(shí)別和確認(rèn)的方式。它通常由一些特征、屬性、角色、權(quán)限等元素構(gòu)成，用于確定一個(gè)人或?qū)嶓w的唯一性和辨識(shí)度。它是標(biāo)識(shí)物理世界人或?qū)嶓w在數(shù)字世界的孿生復(fù)制體。

身份管理（Identity Management）則指管理和維護(hù)用戶身份信息的過(guò)程和系統(tǒng)。它包括創(chuàng)建、驗(yàn)證、授權(quán)、更新和撤銷用戶身份等身份的生命周期管理，以確保身份信息變化能及時(shí)并正確的映射到數(shù)字世界。

訪問(wèn)控制（Access Control）是一種安全機(jī)制，用于控制對(duì)系統(tǒng)、應(yīng)用程序、網(wǎng)絡(luò)或資源的訪問(wèn)權(quán)限。它確定了誰(shuí)可以訪問(wèn)何種資源，以及在何種條件下可以訪問(wèn)。訪問(wèn)控制的目的是保護(hù)敏感信息，防止未經(jīng)授權(quán)的訪問(wèn)和數(shù)據(jù)泄露。

根據(jù)上述定義，我們可以看到，IAM的核心安全管理主線是為了保證正確的身份在正確的授權(quán)前提下訪問(wèn)正確的企業(yè)系統(tǒng)或資源。

但I(xiàn)AM的核心能力卻并不像上面介紹的這么簡(jiǎn)單。根據(jù)Gartner的介紹，IAM核心能力包括身份治理與管理（IGA）、訪問(wèn)管理（AM）、用戶認(rèn)證、特權(quán)訪問(wèn)管理（PAM）。

而每一項(xiàng)能力背后都涉及了復(fù)雜的管理思想、安全策略以及技術(shù)實(shí)現(xiàn)。后續(xù)在書(shū)籍解讀的其他主題分享中會(huì)對(duì)IGA與PAM進(jìn)行詳細(xì)介紹，這里主要和大家介紹下用戶認(rèn)證。

用戶認(rèn)證是指以隱含或名義上的信心或信任，對(duì)已創(chuàng)建的身份請(qǐng)求進(jìn)行實(shí)時(shí)驗(yàn)證，使其能夠訪問(wèn)數(shù)字資產(chǎn)。用戶認(rèn)證的本質(zhì)是幫助識(shí)別已知用戶，驗(yàn)證被請(qǐng)求的身份是否屬于發(fā)出請(qǐng)求的用戶。

當(dāng)前，很多企業(yè)機(jī)構(gòu)對(duì)數(shù)字業(yè)務(wù)的無(wú)密碼認(rèn)證技術(shù)越來(lái)越感興趣，因?yàn)樗鼈兲峁┝烁玫挠脩趔w驗(yàn)，并且可以避免攻擊者利用密碼固有的弱點(diǎn)。例如，密碼可能被盜，且人們?cè)诙鄠€(gè)網(wǎng)站使用同一個(gè)密碼的情況并不少見(jiàn)。

目前，已有多種方法可以實(shí)現(xiàn)無(wú)密碼認(rèn)證，例如快速身份在線（FIDO）認(rèn)證、“短信令牌”認(rèn)證、OTP認(rèn)證等都被廣泛用于取代密碼。