IAM 基础

身份与访问管理（IAM）是一套确保正确的身份在正确的时间对正确的资源拥有正确的访问权限的管理方法。

它是组织安全的骨干。

三个不同的概念：

• 身份识别：声明您是谁（用户名）。
• 身份验证：证明您确实是该身份（密码或密钥）。
• 授权：决定您可以执行哪些操作。

身份代表一个实体：人类用户、服务账户或机器。

在访问系统中，代表某个身份对资源执行操作的已验证身份通常称为主体。

身份会经历一个生命周期：

• 加入者：有人加入时为其配置身份。
• 变更者：角色发生变化时更新其访问权限。
• 离职者：有人离开时撤销其身份配置。

未能及时撤销配置会遗留危险的孤立账户。

IAM 集中管理身份验证，使用户只需针对可信的身份提供方（IdP）证明一次身份。

这样可以避免各个应用分别维护分散且不一致的密码系统。

完成身份验证后，授权会决定权限。

常见模型包括RBAC（基于角色）和ABAC（基于属性），下一课将详细介绍这两种模型。

AAA（身份验证、授权、记账）中的第三个 A 是记录谁执行了什么操作。

审计日志有助于调查、满足合规要求以及发现滥用行为。

管理员账户和根账户是高价值目标。特权访问管理（PAM）会增加额外的控制措施：

• 即时提权
• 会话录制
• 凭据保管

并非所有身份都属于人类。服务账户、应用程序接口客户端和工作负载同样需要身份。

它们的数量通常超过人类用户，因此需要谨慎进行凭据轮换和权限范围限定。

目录会集中存储身份和组。示例包括基于 LDAP 的目录和云目录。

应用程序会查询目录，而不是自行维护用户列表。

大多数安全漏洞都涉及凭据被窃取或滥用。强大的 IAM 可以：

• 缩小攻击面。
• 强制执行一致的策略。
• 使访问可审计且可撤销。

身份验证和授权有什么区别？

您了解了 IAM 的基础知识。

• 区分身份识别、身份验证和授权。
• 管理加入者—变更者—离职者生命周期。
• 保护特权身份和机器身份，并保留审计日志。

接下来，我们将比较 RBAC 和 ABAC 访问控制模型。