身份访问与管理(IAM)

2023-09-05 阅读 120 评论 0

摘要：IAM 1. IAM的定义定义和管理个人网络用户的角色和访问权限，以及规定用户获得授权（或被拒绝授权）的条件。IAM系统的核心目标是为每个用户赋予一个身份。该数字身份一经建立，在用户的整个“访问生命周期”存续期间都应受到良好的维护、调整与监视。

IAM

1. IAM的定义

定义和管理个人网络用户的角色和访问权限，以及规定用户获得授权（或被拒绝授权）的条件。IAM系统的核心目标是为每个用户赋予一个身份。该数字身份一经建立，在用户的整个“访问生命周期”存续期间都应受到良好的维护、调整与监视。

GDPR要求组织在收集或分享个人信息时，必须获得用户个人的明确许可（自动勾选的同意框不算明确许可）此外，个人还必须能够随时撤销该许可。个人拥有“被遗忘权”。此外，无论数据流向何方，身份信息的使用记录都必须保留。

GDPR适用于任何拥有欧盟公民数据的地方，因而其会影响到全世界各地的公司，而且，它对于企业的客户和员工都适用，因此它将会对企业内部和外部的身份治理与安全产生重要影响。例如，专门为外部用户提供IAM服务的ForgeRock公司，就为他们的产品增加了GDPR仪表盘功能。

1.1 目标

从用户登录系统到权限授予到登出系统的整个过程中，根据需要在恰当的条件下及时赋予正确的用户对企业内适当资产的访问权。
IAM系统为管理员提供了修改用户角色、跟踪用户活动、创建用户活动报告和贯彻管理策略的工具及技术。这些系统的出现就是为了能够管理整个企业内的用户访问，并确保用户活动符合企业规章制度与政府监管规定。

1.2 组成

1.2.1 访问管理

用于控制和监视网络访问的过程及技术。访问管理功能，比如身份验证、授权、信任和安全审计，是企业内部及云端系统顶级ID管理系统不可缺少的重要部分。

1.2.2 生物特征识别身份验证

依靠用户独特的生物特征来验证用户身份的安全过程。生物特征识别身份验证技术包括指纹传感器、虹膜和视网膜扫描，还有人脸识别。

1.2.3 上下文感知网络访问控制

一种基于策略的授权方法，根据索要访问权限的用户的当前上下文来授予网络资源访问权。比如说，某用户试图通过身份验证，但其IP地址却没在白名单之内，那该用户就不能获得授权。

1.2.4 凭证

用户用以获取网络访问权的标识，比如用户的口令、公钥基础设施(PKI)证书，或者生物特征信息(指纹、虹膜扫描等)。

1.2.5 撤销

将某身份从ID存储中移除并终止其访问权限的过程。

1.2.6 数字身份

ID本身，包括对用户及其访问权限的描述。(笔记本电脑或手机之类的终端也可拥有自己的数字身份。)

1.2.7 权益

指已验证安全主体所具备的访问权限的一系列属性。

1.2.8 身份即服务(IDaaS)

基于云的IDaaS为位于企业内部及云端的系统提供身份及访问管理功能。随着治理进入云端，身份即服务也变得越来越真实。一些管理提供商正在发展成为全栈（full-stack）一站式商店，以满足用户的所有身份需求。而在今年3月份，谷歌还发布了完整的“身份即服务”产品，其使用了开放标准：云身份（Cloud Identity）。