转载 | 身份访问与管理(IAM)的定义、应用与提供商

企业IT中的IAM基本上就是定义和管理个人网络用户的角色和访问权限，以及规定用户获得授权（或被拒绝授权）的条件。IAM系统的核心目标是为每个用户赋予一个身份。该数字身份一经建立，在用户的整个“访问生命周期”存续期间都应受到良好的维护、调整与监视。


因此，身份管理的首要目标就是：从用户登录系统到权限授予到登出系统的整个过程中，根据需要在恰当的条件下及时赋予正确的用户对企业内适当资产的访问权。

IAM系统为管理员提供了修改用户角色、跟踪用户活动、创建用户活动报告和贯彻管理策略的工具及技术。这些系统的出现就是为了能够管理整个企业内的用户访问，并确保用户活动符合企业规章制度与政府监管规定。

IAM产品和服务能做什么？

身份与管理技术包括（但不局限于）口令管理工具、配置软件、安全策略实施应用程序、报告及监视App和身份存储。身份管理系统既可以在企业内部署，比如微软SharePoint，也有云端系统，比如微软的 Office 365。

佛瑞斯特研究所的《科技浪潮：身份与访问管理，2017第四季度》报告中，有6种IAM技术被认为具备发展潜力，目前虽然成熟度低，但具备很高的商业价值。

1. API安全

驱动IAM应用于B2B商业模式，促成IAM与云的融合，并催生出基于微服务的IAM架构。佛瑞斯特研究所看到API安全解决方案用于移动应用或用户托管访问之间的单点登录(SSO)。这将使安全团队得以管理IoT设备授权和个人可识别数据。

2. 客户身份与访问管理(CIAM)

可对用户进行全面的管理与身份验证，可施行自服务与资料管理，还能与CRM、ERP和其他客户管理系统及数据库集成。

3. 身份分析(IA)

能够让安全团队运用规则、机器学习和其他统计算法来检测并阻止危险身份行为。

4. 身份即服务(IDaaS)

包含提供SSO的软件即服务(SaaS)解决方案，可从一个门户即登录Web应用和原生移动应用，还能提供一定程度的用户账户资料和访问请求管理。

5. 身份管理与治理

提供可重复的自动化方式来监管身份生命周期。在身份及隐私合规方面非常重要。

6. 基于风险的身份验证(RBA)

解决方案在给出风险评级时会将用户会话和身份验证上下文考虑在内。于是公司就可要求高风险用户进行双因子身份验证(2FA)而允许低风险用户仅以单因子凭证验证身份（比如用户名 口令）。

今天这种复杂的计算环境下，IAM系统必须足够灵活和健壮。原因之一：企业计算环境曾经很大程度上都只在企业内部部署，身份管理系统仅在用户来公司上班时对其进行身份验证和跟踪。曾经，有一道安全围墙阻隔着企业外面的各种风险，而现在，随着移动办公和云的兴起，围墙消失了。

因此，今天的身份管理系统应能让管理员方便地管理各类用户的访问权限，包括在公司上班的员工和世界各地的承包商；融合了内部计算、SaaS应用和影子IT及BYOD用户的混合计算环境；混合了UNIX、Windows、Macintosh、iOS、安卓甚至IoT设备的计算架构。

最终，身份与访问管理系统应能以持续和可扩展的方式对整个企业的用户进行集中式管理。

最近几年，IDaaS作为第三方托管服务通过云以订阅的方式提供逐渐发展起来，同时满足了客户的现场与云端两类系统的身份管理需求。

为什么需要 IAM？

身份与访问管理是任何企业安全计划的重要一环，因为在今天的数字化经济中，它与企业的安全和生产力密不可分。

被盗用户凭证往往是进入企业网络及其信息资产的入口点。企业运用身份管理来守护信息资产，使其不受日渐增多的勒索软件、犯罪黑客活动、网络钓