身份和访问管理（IAM）

IAM 包括组织的技术和管理要素。在技术方面，IAM 的核心组件通常包括 

• 身份数据。 这可能包括位置详情、访问权限、设备信息和凭证，所有这些都存储在中央数据库中。就身份数据而言，少即是多--企业只应收集准确识别用户身份所必需的数据。 
• 认证。 确保实体真实身份的一种手段。通常是单点登录 (SSO)、多因素身份验证 (MFA)、基于风险的身份验证 (RBA)、行为验证和用户凭证的组合。 
• 管理。 IAM 包括便于管理用户权限、角色和特权的工具。 
• 监控。 IAM 应包括监控每个实体行为的方法，以及执行额外验证的方法。 

IAM 的管理方面包括：

• 策略。策略根据一组预定义标准为实体或角色分配权限。策略可以是基于规则的，也可以是动态的。 
• 权限。 从本质上讲，用户在通过身份验证和授权后，可以看到什么、做什么。 
• 角色。 一组适用于实体的预定义权限。  

值得注意的是，IAM 是一项历史悠久的技术。然而，传统的 IAM 控制（如身份验证挑战和密码策略）并不适合当今动态的业务环境。现代 IAM 已经摆脱了传统的束缚，开始拥抱自动化、云和零信任网络访问 (ZTNA)。 

在高层次上，IAM 完成了以下任务： 

身份识别。 用户或实体对自己的身份有什么要求？请注意，每个实体和用户都必须根据 IAM 分配一套唯一的凭证。  

身份验证。用户或实体是否为其本人？认证可通过以下因素的组合来实现： 

• 类型 1.记忆凭证，如密码和 PIN 码。 
• 第 2 类。设备 ID 或硬件令牌等物理因素。
• 类型 3.生物识别或行为生物识别。 

授权。 根据用户或实体的身份，应授予他们哪些特权或权限？ 

IAM 的基础是一些基本思想和概念。衡量一个 IAM 工具是否有效，通常要看它是如何处理这些领域和原则的： 

最低特权

用户只能访问他们需要的资源，收集的任何身份数据都应尽可能减少。 

连续验证

除了利用多因素身份验证和单点登录外，有效的 IAM 工具还应持续监控和验证用户的活动，以确保他们是自己声称的那个人。IAM 工具可以选择利用基于风险的身份验证。 

持续身份验证根据三个主要类别验证用户身份： 

1. 证书。 提供的凭证是否有效？用户是否成功提供了初始验证所需的所有数据？
2. 行为。 用户的行为是否与其既定基线一致？
3. 活动。 用户是否在其典型职责或责任范围之外行事？ 

零信任

IAM 与 ZTNA 关系密切，是该方法的核心推动力。二者都基于 "任何实体都不应被隐式信任 "的理念。零信任还限制对单个资源而非整个网络的访问。