身份与访问管理（IAM）基础
说起 IAM，很多人第一反应是「不就是用户登录那点事儿吗？」
说实话，我最开始也是这么想的。直到有一回在一个跨国制造企业现场，看到他们 HR 系统里离职半年的员工还能登录财务系统——老板脸都绿了。从那天起我就明白，IAM 不是登录，是命门。
这一节，咱们把 IAM 最核心的三大块捋一遍：用户身份生命周期、认证与授权、还有企业里头到底怎么落地。我会结合我自己的项目教训来讲，希望能帮你少踩几个坑。
2.1 用户身份生命周期管理
什么叫身份生命周期？说白了就是：一个人从加入公司到离开公司的全过程，系统里对应的身份状态怎么同步、怎么变化。
我个人习惯把生命周期切成 4 个阶段：
- 创建（Provisioning）——新员工入职，在 HR 系统录入后，自动同步到 AD、邮箱、VPN、OA 等系统。
- 变更（Modification）——转岗、升职、调部门，权限跟着重新核算。
- 暂停/恢复（Suspend/Resume）——长期休假、借调、离职待审批，临时关权限但保留账号。
- 禁用/删除（Deprovisioning）——离职确认后，强制关账号，甚至直接清理。
管理生命周期，离不开统一身份源。我一直强调：HR 系统必须作为身份权威源。所有下游系统（AD、IDaaS、零信任平台）只从 HR 系统同步数据，不准手动改。
| 环节 | 触发条件 | 推荐动作 | 常见坑 |
|---|---|---|---|
| 创建 | HR 系统新增记录 | 自动生成账号+默认权限组 | 账号生成但未赋基础权限，员工入职后无法办公 |
| 变更 | HR 系统更新岗位/部门 | 触发权限重新审批 | 转岗后旧权限没回收，造成权限扩散 |
| 暂停 | HR 标记为长期休假 | 禁用所有主动认证能力 | 邮件转发规则没关，信息泄露 |
| 删除 | HR 标记离职 | 立即禁用 → 30 天后软删除 → 180 天硬删除 | 直接物理删除导致审计追溯缺失 |
我建议：生命周期管理第一步不是搞技术，而是跟 HR 和法务对清楚流程。流程不通，上什么系统都是白费。
2.2 认证与授权的基本概念
这两个词经常放在一起说，但它们的区别其实很简单：
- 认证（Authentication）：证明「你是谁」。方式有密码、指纹、硬件密钥等。
- 授权（Authorization）：确认「你能干什么」。是一次认证后，系统决定你是否有权限访问某个资源。
前几年流行的说法是「认证 + MFA」，现在大家更关注「持续认证」和「细粒度授权」。你想想看，光靠一把密码就能横行内网的时代，早该结束了。
| 维度 | 认证 | 授权 |
|---|---|---|
| 核心问题 | “你是谁？” | “你能做什么？” |
| 常用技术 | LDAP、OAuth 2.0、SAML、WebAuthn | RBAC、ABAC、PBAC |
| 典型错误 | 弱口令、未强制 MFA | 权限过大、缺乏最小权限原则 |
| 审计关注点 | 登录失败次数、来源 IP | 权限变更记录、越权尝试 |
我曾经处理过一个案子：一家企业用了单点登录（SSO），认证做得还不错，但授权策略直接从 LDAP 的组继承——结果一个实习生因为被加进了「全员」组，顺手就能看到全公司薪资表。认证通过没问题，授权却一塌糊涂。
2.3 IAM 在企业中的部署策略
部署 IAM，不是买个产品就完了。我个人把它分成三种模式，你可以根据企业规模和阶段来选：
2.3.1 集中式部署（单体 IAM 平台）
适用场景：中小企业（500 人以内），技术团队不大，系统数量不多。
- 所有身份信息集中在一个平台（如 FreeIPA、Keycloak、Azure AD）。
- 优点：简单好管，适合统一控制。
- 我看到的坑：单点故障。我记得有次 IDP 挂掉后，全公司连邮箱都登不了。
2.3.2 联邦式部署（Federated IAM）
适用场景：多地、多子公司、合作伙伴多。
- 每个组织保留自己的身份源，通过信任关系（federation trust）互通。
- 常用协议：SAML 2.0、OIDC、WS-Fed。
- 优点：各系统自治，内部变更不影响外部。
- 缺点：协商信任策略时特别容易扯皮。我曾见过两边的安全团队为「一个属性映射」吵了两个月。
2.3.3 混合式部署（Hybrid + 零信任）
适用场景：大型企业、强合规行业（金融、政务、运营商）。
- 本地保留核心身份存储（LDAP、AD），云端使用 IDaaS 做认证转接。
- 引入零信任策略（ZTNA），每次访问都重新评估信任等级。
- 优点：兼顾本地控制与云弹性。
- 避坑：我曾经看到过混合部署没打通同步，造成“一个人俩密码”，员工每周提一次工单。
为了让这些概念更直观，下面我画了一张 IAM 集成逻辑图，把身份源、认证层、授权策略层与应用层的关系画了出来。
你看这张图，从左到右是流向，从上到下是分层。每一层出错，后续都会跟着崩。IAM 不是搭积木，是串齿轮，一个齿歪了，整套机制就卡壳。
2.4 小结与实操建议
写到这里，我把这一节的核心结论拎出来：
- 生命周期管不好，账号就像没锁的门，谁都能推一把。
- 认证过关了不代表授权过关，很多时候漏洞出在后半截。
- 部署策略没有银弹，300人的公司和3万人的选择肯定不一样。
下一段内容，我会具体讲怎么落地 IAM 中的关键协议（LDAP、SAML、OIDC）和常见集成模式。嗯，到时候咱们再用实战说话。