你真的弄懂了IAM嗎？重新全面認(rèn)識一下！

簡單說，IAM只做兩件事：

1、身份證明和確認(rèn)；

2、授予權(quán)限以訪問資源。

用個形象的比喻，IAM就好比當(dāng)我們要進入一棟大樓，這時候我們需要先出示身份證明來驗證我們的身份，然后才能進入大樓。

大樓的管理員會將你的身份和權(quán)限進行管理和控制，確保只有經(jīng)過授權(quán)的人才可以進入特定區(qū)域或使用特定資源。管理員會根據(jù)你的身份和需要給你分配不同的門禁卡，以控制你能夠進入哪些房間或樓層。

這個比喻中的大樓就好比企業(yè)內(nèi)生的數(shù)字世界，每一層樓或房間代表著企業(yè)各個信息化、數(shù)字化系統(tǒng)與資源，甚至可以不斷細(xì)化到某個系統(tǒng)的某個菜單下的某個功能或某個資源等；在某些特定場景下還需要更加深入到數(shù)據(jù)級的行和列的控制。

身份與訪問控制管理（IAM）系統(tǒng)就是大樓的管理系統(tǒng)。它負(fù)責(zé)創(chuàng)建、驗證和管理用戶的身份信息，并分配和控制他們的訪問權(quán)限。

它可以確保只有經(jīng)過身份驗證和授權(quán)的人才能訪問到需要的資源，同時記錄和監(jiān)控他們整個訪問行為，以便進行安全審計和合規(guī)性檢查。

那企業(yè)IAM系統(tǒng)究竟是怎么去管理這些要進入企業(yè)數(shù)字世界的身份和對應(yīng)的訪問權(quán)限呢？這就要回到IAM本身進行解答。

首先，我們來看看IAM的定義，英文名稱：Identity and Access Management，中文譯為身份和訪問控制管理。

字面可拆解為身份+身份管理+訪問控制管理。那什么是身份？什么是身份管理？什么又是訪問控制？

身份（Identity），即一個人或?qū)嶓w在特定環(huán)境中被識別和確認(rèn)的方式。它通常由一些特征、屬性、角色、權(quán)限等元素構(gòu)成，用于確定一個人或?qū)嶓w的唯一性和辨識度。它是標(biāo)識物理世界人或?qū)嶓w在數(shù)字世界的孿生復(fù)制體。

身份管理（Identity Management）則指管理和維護用戶身份信息的過程和系統(tǒng)。它包括創(chuàng)建、驗證、授權(quán)、更新和撤銷用戶身份等身份的生命周期管理，以確保身份信息變化能及時并正確的映射到數(shù)字世界。

訪問控制（Access Control）是一種安全機制，用于控制對系統(tǒng)、應(yīng)用程序、網(wǎng)絡(luò)或資源的訪問權(quán)限。它確定了誰可以訪問何種資源，以及在何種條件下可以訪問。訪問控制的目的是保護敏感信息，防止未經(jīng)授權(quán)的訪問和數(shù)據(jù)泄露。

根據(jù)上述定義，我們可以看到，IAM的核心安全管理主線是為了保證正確的身份在正確的授權(quán)前提下訪問正確的企業(yè)系統(tǒng)或資源。

但IAM的核心能力卻并不像上面介紹的這么簡單。根據(jù)Gartner的介紹，IAM核心能力包括身份治理與管理（IGA）、訪問管理（AM）、用戶認(rèn)證、特權(quán)訪問管理（PAM）。

而每一項能力背后都涉及了復(fù)雜的管理思想、安全策略以及技術(shù)實現(xiàn)。后續(xù)在書籍解讀的其他主題分享中會對IGA與PAM進行詳細(xì)介紹，這里主要和大家介紹下用戶認(rèn)證。

用戶認(rèn)證是指以隱含或名義上的信心或信任，對已創(chuàng)建的身份請求進行實時驗證，使其能夠訪問數(shù)字資產(chǎn)。用戶認(rèn)證的本質(zhì)是幫助識別已知用戶，驗證被請求的身份是否屬于發(fā)出請求的用戶。

當(dāng)前，很多企業(yè)機構(gòu)對數(shù)字業(yè)務(wù)的無密碼認(rèn)證技術(shù)越來越感興趣，因為它們提供了更好的用戶體驗，并且可以避免攻擊者利用密碼固有的弱點。例如，密碼可能被盜，且人們在多個網(wǎng)站使用同一個密碼的情況并不少見。

目前，已有多種方法可以實現(xiàn)無密碼認(rèn)證，例如快速身份在線（FIDO）認(rèn)證、“短信令牌”認(rèn)證、OTP認(rèn)證等都被廣泛用于取代密碼。