4. 身份与认证管理（IAM）

身份与认证管理（Identity and Access Management, IAM）是企业访问控制策略的核心支柱。它确保正确的用户在正确的时间，以正确的方式访问正确的资源。本节将深入探讨IAM的四大关键领域：身份生命周期管理、单点登录、多因素认证以及目录服务。

4.1 身份生命周期管理

身份生命周期管理是指从用户身份的创建、维护到最终删除的完整流程。它旨在自动化管理数字身份，减少安全风险并提高运营效率。

核心阶段

最佳实践

• 自动化预置：通过HR系统触发，自动创建账号并分配基础权限。
• 最小权限原则：仅授予完成工作所必需的最小权限。
• 定期审查：每季度审查一次用户权限，清理僵尸账号。
• 及时回收：员工离职后，立即禁用所有账号，并在30天内完成删除。

4.2 单点登录（SSO）

单点登录允许用户使用一组凭据（如用户名和密码）登录多个独立的应用系统。它极大地提升了用户体验，并减少了密码疲劳带来的安全风险。

SSO 工作原理（基于 SAML 2.0）

主流 SSO 协议对比

协议	适用场景	优势	劣势
SAML 2.0	企业级 Web 应用	成熟、安全、支持跨域	较重，基于 XML
OAuth 2.0	API 授权、移动应用	轻量、灵活、支持委托授权	本身不处理身份认证
OpenID Connect	现代 Web 和移动应用	基于 OAuth 2.0，提供身份层	相对较新，生态仍在完善

4.3 多因素认证（MFA）

MFA 要求用户提供两种或以上不同类型的验证因素，以证明其身份。它显著提高了账户安全性，即使密码泄露，攻击者也难以突破第二道防线。

三种认证因素

MFA 实施建议

• 强制启用：对所有管理员、远程访问用户及高权限用户强制启用 MFA。
• 选择合适方式：推荐使用基于时间的一次性密码（TOTP）或推送通知，避免使用短信验证码（易受 SIM 卡交换攻击）。
• 备用机制：提供备用码或备用邮箱，防止用户因丢失设备而无法登录。

4.4 目录服务

目录服务是一种网络服务，用于存储、组织和提供关于网络资源（如用户、组、计算机、打印机）的信息。它是 IAM 的基础设施，为身份认证和授权提供数据支持。

主流目录服务对比

服务	协议	典型应用	特点
Active Directory (AD)	LDAP, Kerberos	Windows 环境	与微软生态深度集成，组策略管理强大
OpenLDAP	LDAP	Linux/Unix 环境	开源、轻量、高度可定制
Azure AD	REST, OAuth	云应用 (SaaS)	云原生，支持现代认证协议，与 Office 365 集成

目录服务架构示意（LDAP 树形结构）

目录服务集成要点

• 统一身份源：将 HR 系统作为权威身份源，同步数据到目录服务。
• 高可用设计：部署多台目录服务器，实现负载均衡和故障转移。
• 安全加固：启用 LDAPS（加密 LDAP），限制匿名查询，定期审计目录权限。

---

专注课程资料整理