身份与访问管理(IAM)基础
说实话，很多团队一上来就搞微隔离、动态信任评分，却忽略了一个最根本的问题——你到底知不知道谁在访问你的系统？
身份与访问管理，简称IAM，就是回答这个问题的。它不是什么新鲜概念，但在零信任体系里，它的地位完全不一样了。我落地过好几个零信任项目，见过太多因为IAM没打牢，后面全盘崩的例子。
核心概念：身份、认证、授权、审计
用大白话说，IAM就管四件事：你是谁，怎么证明你是你，你能干什么，干过什么。
| 概念 | 定义 | 常见技术 | 零信任里的作用 |
|---|---|---|---|
| 身份 | 实体的唯一数字标识 | 用户账户、设备指纹、服务账号 | 信任计算的起点 |
| 认证 | 验证“你是你声称的那个人” | 密码、MFA、证书、生物识别 | 持续验证的基础 |
| 授权 | 决定“你能做什么” | RBAC、ABAC、策略引擎 | 最小权限原则的落地 |
| 审计 | 记录并检查“你做了什么” | 日志、SIEM、行为分析 | 事后追溯与信任调整 |
你可能觉得这些太基础了。嗯，基础归基础，但我在项目里踩过的坑说明——大部分人根本没把“身份”当独立资产来管理。
我曾经接手过一个客户，他们把所有员工身份放在同一个AD OU里，连外包和正式都没分开。结果一次钓鱼攻击，攻击者用外包账号直捣核心数据库。如果当时做了身份隔离和定期审计，根本不会发生。
审计这块很多人会忽略，觉得“出了事再查日志就行”。实际上，零信任要求持续验证，审计数据就是验证的反馈回路。没有审计，你调整信任策略就像蒙眼开车。
IAM系统在零信任中的定位
零信任的核心逻辑说白了就八个字：从不信任，始终验证。而IAM就是实现这套逻辑的腰杆子。
为什么这么说？你想想看，零信任要求每个访问请求都必须经过认证、授权，然后根据当前信任等级动态放行或拒绝。这个过程每一步都依赖IAM提供的信息。
- 用户/设备发出请求 → IAM提取身份信息
- 策略引擎检查身份+上下文 → 授权决策
- 每次访问都记录 → 审计闭环
没有完整的IAM，零信任就像没有地基的房子。我见过甲方架构师想用“跳过IAM直接上零信任平台”的方式搞快速部署，结果用户认证靠对接老旧LDAP，每改一次权限要两周。零信任讲究动态响应，这种延迟根本不可行。
千万不要把IAM当成“辅助组件”，它是零信任的大脑。一旦身份数据脏乱差，后续所有信任计算都会失真。
常见IAM模型
选什么模型，直接影响你后面做策略的灵活度。我按应用场景列了4种最常见的：
| 模型 | 授权依据 | 优点 | 缺点 | 在零信任中适用场景 |
|---|---|---|---|---|
| DAC（自主访问控制） | 资源所有者决定 | 灵活，去中心化 | 权限分散难以统一管控 | 不推荐，除非小型临时团队 |
| MAC（强制访问控制） | 系统级安全标签 | 严格，防篡改 | 配置复杂，维护成本高 | 高安全等级环境（如军工） |
| RBAC（基于角色的访问控制） | 用户角色 | 管理简单，广泛适用 | 角色爆炸，无法处理临时特权 | 常用基础模型，配合ABAC补充 |
| ABAC（基于属性的访问控制） | 用户、资源、环境属性 | 动态精细，适应性强 | 策略管理复杂，性能开销大 | 零信任核心推荐模型 |
我个人习惯，新建零信任体系时优先从RBAC起步，然后逐步引入ABAC。直接上ABAC容易陷入策略管理的泥潭。为什么？因为属性定义、策略编排、测试验证，每一步都容易出问题。
举个实际例子：之前帮一家金融科技公司做零信任改造，他们一开始全盘采用ABAC，员工每次访问都根据时间、地点、设备指纹、角色组合来判断。结果开发了三个月，策略冲突、性能瓶颈全来了。后来我先让他们退回RBAC，把角色精简到12个，稳定运行后再逐步加属性条件。反而更顺利。
核心原则：IAM模型的选择要匹配组织的治理成熟度，不要为了“先进”而选最复杂的。
下面这张图，我把IAM在零信任中的位置和核心流程画了出来。
从图里可以看出，IAM不是一条直线，而是一个闭环。身份源提供基础数据，认证和授权做实时决策，审计把行为数据送回身份源和认证模块，形成动态信任反馈。这正是零信任“持续验证”机制。
好了，IAM基础这块大概这么多。实际做的时候记得把身份治理、权限梳理先做一遍，不要一上来就调策略引擎。我早期吃过大亏，后来每到一个项目都先花两个星期理清身份数据，后面反而快得多。