身份可信管理基础：IAM核心概念与零信任架构
各位同学，咱们今天聊点实在的。身份可信管理，说白了就是回答三个问题：你是谁？你能干什么？我怎么相信你？
我在供应链安全项目里摸爬滚打这些年，发现一个扎心的事实——超过80%的安全事件，根源都在身份管理上出了岔子。不是密码泄露，就是权限过大，要么就是离职员工的账号还在系统里游荡。
所以这一章，咱们把地基打牢。先搞清楚IAM的核心概念，再聊聊零信任这套新思路。
IAM到底是什么？
身份与访问管理（Identity and Access Management，IAM），是一套用来管理数字身份、控制资源访问的框架。它包含三个核心动作：
- 认证（Authentication）——验证你是不是你声称的那个人
- 授权（Authorization）——确定你能碰哪些东西
- 审计（Auditing）——记录你干了什么，事后能追溯
嗯，这里要注意。很多团队只做了前两步，审计直接忽略。我见过一家供应商，系统被入侵了三个月才发现，就是因为没有审计日志。你说这多可怕？
IAM的四大核心要素
咱们把IAM拆开来看，其实就四个东西：
| 要素 | 说明 | 我踩过的坑 |
|---|---|---|
| 身份主体 | 用户、设备、服务、API等 | 很多人只管人，不管设备和API |
| 身份存储 | LDAP、AD、IAM数据库 | 多套存储不同步，权限乱成一锅粥 |
| 认证机制 | 密码、MFA、SSO、证书 | 单靠密码？等于把门钥匙挂门口 |
| 授权策略 | RBAC、ABAC、PBAC | 权限给得太粗，要么不够用要么太危险 |
我个人习惯，做IAM设计时先画一张身份关系图，把谁访问什么、怎么访问、访问后留什么痕迹，全画出来。这张图比任何文档都管用。
认证 vs 授权：别搞混了
这两个概念经常被混为一谈。我面试过不少自称懂IAM的工程师，一问区别就含糊了。
认证是「证明你是你」。比如你输入密码、刷指纹、扫脸。
授权是「证明你能干什么」。比如你登录了系统，但只能看自己的工资条，不能看别人的。
举个例子：你拿着身份证进公司大门，保安核对照片——这是认证。你进了门，门禁卡只能刷开你工位所在楼层——这是授权。
关键原则：认证通过 ≠ 授权通过
很多供应链攻击就是利用了「认证后默认全权限」的漏洞。记住，每次访问都要重新检查授权。
常见的授权模型
咱们做供应链安全，授权模型选对了，能省一半的事。常用的有三种：
- RBAC（基于角色的访问控制）：给角色分配权限，用户挂角色。简单粗暴，适合大部分场景。
- ABAC（基于属性的访问控制）：根据用户属性、资源属性、环境条件动态判断。灵活但复杂。
- PBAC（基于策略的访问控制）：用策略引擎统一管理。适合大型组织。
我建议中小型供应链企业先从RBAC入手。为什么？因为ABAC虽然灵活，但策略写起来容易出漏洞。我曾经帮一家客户审计ABAC策略，发现200多条规则里有30多条互相矛盾。你想想看，这权限能管好才怪。
零信任架构：不再相信「内网」
传统安全模型有个致命假设：内网是安全的。但现实是，攻击者一旦进了内网，就像进了无人之境。
零信任（Zero Trust）的核心思想就一句话：永不信任，始终验证。
不管请求来自内网还是外网，不管你是CEO还是实习生，每次访问都要经过认证、授权、加密。
零信任的三大原则：
- 显式验证——基于所有可用数据点（身份、设备、位置、行为等）进行验证
- 最小权限——只给完成任务所需的最小权限
- 假设失陷——默认网络已经被攻破，所有流量都要加密和审计
我的经验：零信任不是买一个产品就能搞定的。它是一套架构思想。我见过最成功的案例，是先从「最小权限」入手，花三个月清理了所有过度授权的账号，然后再逐步上MFA和微隔离。
零信任架构的核心组件
咱们用一张图来理解零信任的架构：
这张图我建议你保存下来。每次做架构设计时，对照着检查：身份认证在哪做？策略在哪管？日志记在哪？缺一个环节，零信任就变成了零效果。
零信任在供应链中的落地
供应链场景下，零信任尤其重要。为什么？因为供应链涉及多个组织、多种系统、多类用户。传统边界防护根本防不住。
我总结了几条落地建议：
- 供应商接入必须走零信任网关——别让供应商直连内网
- 每个API调用都要认证——别以为内部系统之间就不用验证
- 动态授权，用完即收回——临时供应商的权限，项目结束立刻回收
- 持续监控行为异常——比如一个供应商账号突然在凌晨三点下载大量数据，这就不正常
警告：零信任不是万能药。它解决的是「身份可信」问题，但解决不了「代码漏洞」和「配置错误」。别以为上了零信任，供应链安全就万事大吉了。
IAM与零信任的关系
说白了，IAM是零信任的基石。没有扎实的IAM，零信任就是空中楼阁。
零信任要求每次访问都验证身份、检查权限、记录行为。这些能力，全部来自IAM系统。所以，别急着上零信任，先把IAM搞明白。
我曾经帮一家制造企业做供应链安全评估。他们花了两百万买零信任产品，结果发现连统一的身份源都没有——供应商用Excel表格管理账号。你说这能信任谁？
所以我的建议是：先做IAM成熟度评估，再谈零信任落地。IAM成熟度分四个等级：
| 等级 | 特征 | 典型问题 |
|---|---|---|
| L1：混乱 | 无统一身份源，密码到处贴 | 共享账号、僵尸账号泛滥 |
| L2：基础 | 有AD/LDAP，但权限管理粗放 | 权限过大、离职账号未清理 |
| L3：规范 | 有IAM平台，RBAC落地 | 缺乏动态授权和审计 |
| L4：智能 | ABAC/PBAC，持续验证，行为分析 | 实施成本高，需要专业团队 |
大部分供应链企业处在L1到L2之间。别灰心，一步步来。先把账号管好，再把权限收窄，最后再上零信任。
小结
这一章咱们聊了IAM的核心概念和零信任架构。记住几个关键点：
- IAM是认证+授权+审计，缺一不可
- 零信任的核心是「永不信任，始终验证」
- IAM是零信任的基石，别跳级
- 供应链场景下，身份可信管理比传统企业更复杂