4. 身份与访问管理（IAM）在零信任中的基石作用

零信任的核心命题是“永不信任，始终验证”。但验证谁？验证什么？答案的起点就是身份。没有可靠的身份体系，策略引擎无法判断请求来自谁、该给什么权限、是否值得信任。IAM（Identity and Access Management，身份与访问管理）正是零信任架构中“信任决策”的数据源和控制面。它由四个相互咬合的支柱构成：身份治理确保身份本身可信且生命周期可控；多因素认证（MFA）确保登录者确实是身份所有者；单点登录（SSO）在提升体验的同时收敛认证入口；自适应访问则根据实时上下文动态调整授权决策。四者缺一不可，共同构成零信任的“身份基石”。

身份治理：让每个身份都有来源、有归属、有生命周期

身份治理解决的是“身份从哪来、归谁管、何时失效”的问题。在零信任中，身份不只是一条账号记录，而是包含人员、设备、服务、API 等多类主体的统一标识体系。实际落地时，通常以企业目录（如 AD、LDAP、云目录）为权威源，通过身份同步或联合协议将身份数据汇聚到统一身份平台。关键治理动作包括：

• 身份源统一：明确 HR 系统为员工身份的权威源，入职、转岗、离职事件驱动账号创建、权限调整与禁用。
• 身份分类：区分员工、外包、合作伙伴、服务账号、设备身份，不同类别适用不同认证强度与访问策略。
• 生命周期管理：账号从创建、启用、变更到注销全程可追溯，避免“僵尸账号”成为攻击跳板。
• 权限最小化：基于角色或属性分配权限，定期复核，确保身份只拥有完成当前任务所需的最小权限。

例如，某企业将 HR 系统的“离职”事件通过 SCIM 协议同步到身份平台，平台在 5 分钟内自动禁用该员工所有应用账号并撤销活跃会话。这一过程无需人工干预，显著缩短了攻击窗口。

多因素认证：从“知道什么”到“拥有什么+是什么”

密码是单因素认证，一旦泄露，攻击者即可冒充合法用户。MFA 要求用户提供两类或以上不同性质的凭证：知识因素（密码、PIN）、持有因素（手机、硬件令牌、智能卡）、生物因素（指纹、人脸）。在零信任中，MFA 不是可选项，而是默认要求。实际部署时需考虑：

• 认证强度分级：普通办公应用可使用推送确认或 TOTP；访问核心数据库、云管理控制台则要求 FIDO2 安全密钥或生物识别。
• 抗钓鱼能力：短信验证码和推送确认存在被实时钓鱼或 MFA 疲劳攻击的风险，高安全场景应优先采用 FIDO2/WebAuthn。
• 无密码趋势：以设备绑定凭证替代密码，降低密码泄露面，同时提升登录体验。

一个可参考的示例参数：某企业要求所有员工登录办公系统必须使用“密码 + 手机推送确认”，访问生产环境则升级为“FIDO2 安全密钥 + 设备合规检查”。若连续三次推送被拒绝，账号临时锁定 15 分钟并触发告警。

单点登录：收敛入口，但不等于放松验证

SSO 让用户一次认证后即可访问多个应用，减少密码疲劳和重复登录。在零信任中，SSO 的价值不仅是体验，更是策略执行点的集中化：所有应用访问都经过统一身份提供商（IdP），IdP 可以在每次认证时执行 MFA、设备检查、风险评分，并将结果以断言形式传递给应用。常见协议包括 SAML 2.0、OIDC 和 OAuth 2.0。实施要点：

• 应用接入标准化：优先支持 OIDC/SAML 的应用直接对接 IdP；不支持的应用通过反向代理或网关接入。
• 会话管理：SSO 会话有效期不宜过长，敏感应用应设置更短的会话超时和重新认证间隔。
• 单点注销：用户注销或离职时，IdP 应能撤销所有下游应用的会话，避免“登出不完全”。

需要注意的是，SSO 本身不提升认证强度，它只是把认证集中到 IdP。因此，IdP 必须强制 MFA，否则 SSO 反而会成为“一点突破、全网沦陷”的放大器。

自适应访问：让授权随上下文动态变化

自适应访问（Adaptive Access）是 IAM 在零信任中最具动态性的部分。它不再只问“你是谁”，还问“你现在从哪里来、用什么设备、行为是否异常”。策略引擎综合以下信号做出实时决策：

• 用户身份与角色：员工、外包、服务账号，权限基线不同。
• 设备状态：是否加入域、是否安装 EDR、补丁级别、是否越狱/root。
• 网络上下文：来源 IP 地理位置、是否企业网络、是否匿名代理。
• 行为风险：登录时间、访问频率、数据下载量、是否首次访问该应用。

决策结果通常分为允许、拒绝、要求额外认证（Step-up MFA）、限制访问范围（如只读）或隔离会话。例如，员工从公司网络用合规笔记本访问财务系统，可直接放行；若同一员工从境外陌生 IP 用未注册设备访问，则要求 FIDO2 认证并限制只能查看报表，禁止导出。

四者协同：从静态身份到动态信任

将四个支柱串联起来，可以看到一条清晰的信任链：身份治理提供可信的身份源和生命周期管理，确保“身份是真的、权限是对的”；MFA 在认证时刻验证“操作者确实是身份所有者”；SSO 将认证入口收敛到 IdP，使策略执行点集中可控；自适应访问则在每次资源请求时，结合身份、设备、网络、行为等上下文，动态决定“这次访问是否放行、放行到什么程度”。

实际部署中，建议按以下顺序推进：先统一身份源和治理流程，再强制 MFA，然后逐步接入 SSO，最后引入自适应访问策略。每一步都应配套日志审计和异常告警，确保策略可验证、可回溯。例如，在自适应访问上线初期，可先以“监控模式”运行，记录策略命中情况和误判率，再逐步切换到“拦截模式”。

零信任的“永不信任”并非否定身份，而是要求身份必须被持续验证、动态评估。IAM 四支柱正是这一理念的工程化落地：治理让身份可信，MFA 让认证可信，SSO 让入口可控，自适应访问让授权随风险变化。只有四者协同，零信任架构才能真正从理念走向可运营的安全体系。