7、身份与访问管理深度解析

身份与访问管理深度解析

一、身份与访问管理基础概念

1.1 关键要素

身份与访问管理（IAM）包含四个关键要素，按顺序分别为：
- 身份（Identify） ：每个人需要一种标识形式来证明自己的身份，如用户名、智能卡等，且该标识必须唯一，以便使用者对其使用负责。
- 认证（Authentication） ：在证明身份后，需为该身份提供认证。方式多样，如输入密码、使用智能卡时输入个人识别码（PIN）。
- 授权（Authorization） ：个人通过认证后，根据其工作角色获得相应的访问级别，即对所访问系统的权限级别。
- 审计（Accounting） ：计算机系统会记录用户的登录和注销时间，审计就是维护这些日志文件的过程。例如，Windows 桌面事件查看器中的安全日志，或 AAA 服务器（如 Microsoft 的 RADIUS 和 DIAMETER、CISCO 的 TACACS+）上的数据库。

1.2 身份类型

身份提供者（IdP）可验证所提供的凭证是否有效，身份可以是证书、令牌、用户名或密码等。云服务提供商常使用联合服务和 IdP 来验证用户身份，如使用 SAML 传递凭证给 IdP 进行验证。以下是可用于评估个人身份的类型：
| 身份类型 | 描述 |
| ---- | ---- |
| 用户名 | 用户的账户标识 |
| 属性 | 用户账户详细信息中的唯一变量，如员工 ID |
| 智能卡 | 带有嵌入芯