身份与访问管理（IAM）的核心概念

你是否曾经登录过电脑或网站？当然有过！这意味着你在日常生活中已经使用了身份控制。身份与访问管理（IAM）是安全的关键支柱，接下来的几课我们将更深入地了解它。

介绍

在本课中，我们将涵盖以下内容：

• 在网络安全背景下，我们所说的“身份与访问管理（IAM）”是什么意思？
• 最小权限原则是什么？
• 职责分离是什么？
• 认证和授权是什么？

在网络安全背景下，我们所说的“身份与访问管理（IAM）”是什么意思？

身份与访问管理（IAM）是指一系列实施的过程、技术和政策，以确保正确的个人在其组织的数字环境中拥有适当的资源访问权限。IAM 涉及管理数字身份（用户、员工、合作伙伴）及其对系统、应用程序、数据和网络的访问。IAM 的主要目标是增强安全性、简化用户访问并确保符合组织政策和法规。IAM 解决方案通常包括用户认证、授权、身份供应、访问控制和用户生命周期管理（确保不再使用的账户被删除）。

什么是最小权限原则？

最小权限原则是一个基本概念，主张仅授予用户和系统执行其预期任务或角色所需的最低限度权限。这个原则有助于限制在发生安全漏洞或内部威胁时可能造成的潜在损害。通过遵循最小权限原则，组织可以减少攻击面并最小化未经授权访问、数据泄露和误用权限的风险。实际上，这意味着用户只能访问完成其工作角色所需的特定资源和功能，而不会更多。例如，如果你只需要阅读一个文档，授予你对该文档的完全管理员权限就是多余的。

什么是职责分离？

职责分离是一种旨在防止利益冲突并减少欺诈和错误风险的原则，通过在组织内不同的个人之间分配关键任务和责任来实现。在网络安全背景下，职责分离涉及确保任何单一人员不对关键过程或系统的各个方面拥有控制权。其目的是创建一种制衡机制，防止任何一个人能够同时进行过程的设置和批准阶段。例如，在财务系统中，这可能意味着录入交易的人不应是批准这些交易的人。这样可以降低未经授权或欺诈行为未被发现的风险。

什么是认证和授权？

认证和授权是网络安全中的两个基本概念，它们在确保计算机系统和数据的安全性和完整性方面发挥着至关重要的作用。它们通常结合使用来控制对资源的访问并保护敏感信息。

1. 认证：认证是验证试图访问计算机系统或特定资源的用户、系统或实体的身份的过程。它确保所声称的身份真实且准确。认证方法通常涉及以下因素之一：

a. 你知道的东西：这包括密码、PIN码或其他只有授权用户才应拥有的秘密知识。

b. 你拥有的东西：这涉及物理令牌或设备，如智能卡、安全令牌或移动电话，用于确认用户的身份。

c. 你的生物特征：这指的是指纹、面部识别或视网膜扫描等生物特征因素，这些因素是个人独有的。
​

认证机制用于在允许用户访问系统或资源之前确认用户的身份。它有助于防止未经授权的访问，并确保只有合法用户可以在系统内执行操作。

2. 授权：授权是在身份验证后向已验证的用户或实体授予或拒绝特定权限和特权的过程。它决定了用户在系统内或对特定资源上可以执行的操作或操作类型。授权通常基于预定义的策略、访问控制规则和分配给用户的角色。

授权可以看作是回答“经过认证的用户能做什么？”的问题。它涉及定义和实施访问控制策略，以保护敏感数据和资源免受未经授权的访问或修改。

总结：

• 认证确定用户或实体的身份。
• 授权决定经过认证的用户可以访问或操作哪些资源和动作。

进一步阅读

• 描述身份概念 - 培训 | Microsoft Learn
• 身份简介 - Microsoft Entra | Microsoft Learn
• 什么是身份与访问管理（IAM）？| Microsoft 安全
• 什么是 IAM？身份与访问管理简介 | CSO 在线
• 什么是 IAM？（auth0.com）
• 安全+：实施身份与访问管理（IAM）控制 [更新于 2021 年] | Infosec (infosecinstitute.com)
• 最小权限 - 术语表 | CSRC (nist.gov)
• 安全：最小权限原则 (POLP) - Microsoft 社区中心
• 最小权限原则 | CERT NZ
• 为什么 NIST 800-171 和 CMMC 要求职责分离？ - (totem.tech)

声明:
本文件灏天文库团队进行了翻译。尽管我们力求准确，但请注意，翻译可能包含错误或不准确之处。原文档以其原始语言为准。我们不对因使用此翻译而产生的任何误解或误译负责。