身份与访问管理（IAM）面试：RBAC、ABAC、SSO、MFA、零信任
IAM是数据安全的核心防线，面试中高频考察模型选择、协议实现、架构落地三个层次。本章聚焦5个关键词，拆解对比类、设计类、架构类问题的回答逻辑。
核心概念速览
| 概念 | 核心思想 | 典型面试切入点 |
|---|---|---|
| RBAC | 角色-权限映射，用户归属角色 | 角色爆炸、细粒度不足 |
| ABAC | 属性（用户/资源/环境）动态评估 | 规则复杂度、性能损耗 |
| SSO | 一次认证，多系统信任 | 协议选型（SAML/OIDC）、票据安全 |
| MFA | 多因素校验（知识+持有+固有） | 用户体验 vs 安全强度 |
| 零信任 | 永不信任，始终验证 | 微隔离、持续评估、动态决策 |
公司侧重点
| 大厂 | IAM面试侧重点 |
|---|---|
| 阿里云 | RAM策略体系、资源级授权、跨账号访问控制 |
| 腾讯 | CAM权限模型、OAuth 2.0 + OIDC实战、企业微信SSO集成 |
| 字节跳动 | 大规模微服务IAM、零信任落地（BeyondCorp类似方案） |
| 华为 | 统一身份认证、MFA与国密算法结合、云联邦认证 |
面试官画像
- 身份安全架构师：关注模型选择权衡、协议细节、性能边界。
- IAM团队负责人：考察项目落地经验、故障处理、与业务对接能力。
- 基础安全专家：注重安全漏洞（SSO票据伪造、MFA绕行等）和攻防视角。
📌 问答卡片 1：RBAC vs ABAC 对比与场景选择
🔹 回答框架
- 定义区别：RBAC基于角色静态绑定，ABAC基于属性动态评估。
- 模型核心：RBAC有用户-角色-权限三层；ABAC含策略引擎、属性源、决策点。
- 优缺点：RBAC易管理但粗粒度，ABAC灵活但规则爆炸。
- 适用场景：RBAC适合职责分明、角色稳定的组织；ABAC适合多维度条件（如时段、地域、设备状态）。
- 最佳实践：混合模型——用RBAC做粗授权，ABAC补充动态约束。
🔹 示例回答
问题：请对比RBAC和ABAC，并说明你如何在实际项目中做选型？
回答：“RBAC和ABAC的核心差异在于权限决定的自变量：RBAC依赖角色，ABAC依赖属性。在上一家公司做权限体系重构时，我们最初用了RBAC，发现财务部门不同子团队需要细粒度控制（比如仅允许查看本部门报销单），导致角色数量激增到300+。后来引入ABAC策略引擎，保留RBAC角色树，但在关键资源上叠加属性规则（用户部门=资源归属部门 AND 时间=工作时间），权限管理效率提升50%。我的建议是：优先用RBAC覆盖80%场景，用ABAC处理剩余20%动态需求，避免全量ABAC导致的策略维护成本。”
🔹 追问
- 大规模下ABAC策略评估性能如何优化？（缓存/决策树/属性预取）
- RBAC中角色层级（role hierarchy）与ABAC中属性继承如何处理？
🔹 避坑
❌ 不要只罗列定义，面试官希望听到取舍决策和实际代价。
❌ 避免说“ABAC完全替代RBAC”，目前大厂都是混合使用。
✅ 提到属性来源同步延迟和策略冲突检测是加分项。
📌 问答卡片 2：设计一个企业级SSO方案
🔹 回答框架
- 协议选型：SAML vs OAuth 2.0 + OIDC（现代应用推荐OIDC）。
- 信任模型：IdP（身份提供者）与SP（服务提供者）建立信任关系（元数据、证书、密钥）
- 认证流程：明确用户、IdP、SP的交互（如OIDC的Authorization Code Flow）。
- 安全要点：令牌签名、防重放、state随机数、单点登出（SLO）一致性。
- 高可用：IdP集群、会话持久化、降级方案（本地缓存AuthN）。
🔹 示例回答
问题：设计一个支持200+应用的SSO系统，你会考虑哪些安全设计要点？
回答：“我会选择OIDC协议，因为现代应用普遍支持，且有成熟的公共库。核心设计包括：1) 所有令牌使用RS256签名，IdP私钥存储在HSM；2) 强制要求每个SP注册时提供redirect_uri白名单，防止开放重定向；3) 实现单点登出时，IdP维护全局会话列表，通过后端通知SP清除本地会话，防止登出不完整；4) 针对关键应用（如财务系统），要求额外MFA验证，即使在SSO会话内。后续遇到SSO票据劫持问题，我们增加了绑定到设备指纹（user-agent+IP段），并限制令牌有效期不超过10分钟。”
🔹 追问
- 如何应对IdP单点故障？（多IdP互备、会话离线缓存）
- 你的方案如何支持跨域SSO？（Cookie SameSite策略、iframe方案 vs 服务器端转发）
🔹 避坑
❌ 避免只说“用OAuth 2.0”，面试官要听到具体安全配置和真实案例。
❌ 忽略SLO（单点登出）是常见漏洞点，必须提。
✅ 提及会话刷新策略（silent refresh + 用户交互）和JWT过期时间权衡是加分项。
📌 问答卡片 3：零信任架构下的持续身份验证与动态访问控制
🔹 回答框架
- 核心理念：基于NIST SP 800-207，取消网络位置信任，每个请求都要验证。
- 持续验证要素：身份、设备、行为、环境四个维度的实时评估。
- 动态访问控制：策略引擎根据当前信任度动态调整权限（如降权、限流、二次认证）。
- 技术实现：借助PEP（策略执行点）-PDP（策略决策点）-PIP（策略信息点）架构。
- 实施挑战：性能损耗（每次请求决策）、属性源滞后、用户无感过渡。
🔹 示例回答
问题：零信任如何实现“永不信任，始终验证”而不影响用户体验？
回答：“我们在内部SaaS平台改造零信任时，采用‘信任分数’机制：用户首次登录通过MFA获得基础分（70）；然后在会话期间持续监测——IP异常-10、设备未打补丁-15、访问敏感数据时触发二次认证+10。当总分低于60时，策略引擎自动拒绝高风险请求或跳转MFA。为了降低延迟，我们将信任决策缓存30秒，只在关键操作时实时评估。最终实现了无感验证（用户感知不到检查）和秒级风险响应。同时注意用户体验：不频繁打断用户，而是采用‘渐进式反馈’——提示已检查环境，给您更流畅体验。”
🔹 追问
- 如何设计信任分数的权重公式？遇到对抗性行为（如模拟正常用户）怎么处理？
- 在微服务架构中，PEP应该部署在网关层还是每个服务内？
🔹 避坑
❌ 空谈理念（如“所有请求都验证”）而不给出具体决策架构，会被认为缺乏落地经验。
❌ 忽略性能与用户体验的平衡，是面试官最常质疑的点。
✅ 提到风险评估引擎集成UEBA和持续认证 vs 会话刷新的差异，大幅加分。