2. 身份权限安全核心概念
在企业身份权限安全评估中，最容易出现的问题不是工具不会用，而是评估人员与业务、运维、审计各方对同一术语的理解不一致。有人把“身份”和“账户”混为一谈，有人把“认证”和“授权”当作同一件事，也有人把“角色”理解为组织架构中的岗位名称。术语一旦错位，后续的权限梳理、风险判定和整改建议都会偏离实际。因此，本节先把十个核心术语放回企业真实环境中逐一厘清，并说明它们在评估工作中的观察点。
身份、账户与凭证：谁在访问，用什么访问，凭什么证明
身份（Identity）是企业在数字世界中对一个实体（自然人、服务、设备或组织）的抽象标识，回答“这是谁”。它通常承载姓名、工号、所属部门、雇佣状态等属性，是权限授予的逻辑主体。例如“张三，工号 E10237，研发中心后端组，在职”就是一个身份记录。
账户（Account）是身份在某个具体系统或平台中的落地载体，回答“在哪个系统里以什么名字存在”。同一个身份可以拥有多个账户：张三可能同时拥有 AD 域账户 zhangsan、GitLab 账户 zhangsan@corp、VPN 账户 E10237。账户是权限实际挂载的对象，也是评估中最常被清点的资产。
凭证（Credential）是证明账户归属的材料，回答“凭什么证明你是这个账户”。常见形式包括口令、SSH 私钥、API Token、Kerberos 票据、TOTP 动态码、FIDO2 安全密钥等。凭证一旦泄露，攻击者即可冒用账户，因此凭证的强度、存储方式、轮换周期和是否可共享，是评估中的高风险观察项。
三者关系可以概括为：身份是逻辑主体，账户是系统载体，凭证是访问凭据。评估时若发现“一个身份对应多个账户”或“一个账户被多人共用”，就应分别标记为账户冗余风险和不可归责风险。
角色、权限与授权：把该做的事交给该做的人
权限（Permission）是对某个资源执行某种操作的权利，通常表达为“资源 + 动作”，例如“订单库只读”“生产服务器重启”“财务凭证导出”。权限是评估的最小颗粒度，也是判断越权的基础。
角色（Role）是一组权限的集合，代表一类职责。例如“财务审核员”角色可能包含“查看付款单”“审批付款单”“导出月度报表”三项权限。角色的价值在于把“人—权限”的直接绑定改为“人—角色—权限”的间接绑定，降低管理复杂度。需要强调的是，角色应基于职责而非组织架构设计，否则岗位调整会引发大量权限漂移。
授权（Authorization）是把角色或权限赋予主体的管理动作，回答“谁被允许做什么”。授权既包括初始授予，也包括变更、回收和定期复核。评估中要重点检查授权是否有审批记录、是否遵循最小权限、离职或转岗后是否及时回收。
认证与鉴权：先证明身份，再判断能不能做
认证（Authentication）解决“你是不是你说的那个人”，发生在访问的入口。常见方式包括口令认证、多因素认证（MFA）、证书认证、生物特征认证等。认证强度直接决定账户被盗用的难度，因此评估中会关注是否对特权账户、远程接入、核心系统强制启用 MFA。
鉴权（Authorization，也常称授权判定）解决“认证通过后，你能不能做这件事”，发生在每一次资源访问时。鉴权通常由系统根据主体、资源、动作和上下文策略实时判定，例如“张三以财务审核员角色访问付款单，允许审批，不允许删除”。认证与鉴权的顺序不可颠倒：先认证确定主体，再鉴权判定行为。
在评估实践中，认证问题多表现为弱口令、MFA 缺失、单点登录覆盖不全；鉴权问题多表现为越权访问、水平越权（同角色访问他人数据）、垂直越权（低权限执行高权限操作）。两者排查思路不同，不能混为一谈。
特权与职责分离：高风险权限的识别与制衡
特权（Privilege）是指能够改变系统配置、访问敏感数据或影响其他账户的高风险权限，例如域管理员、数据库 DBA、云平台 Root、安全设备管理员、密钥管理员等。特权账户数量应尽量少、使用应可审计、操作应可追溯。评估中通常单独建立特权账户清单，检查其认证方式、会话记录、审批流程和定期复核情况。
职责分离（Separation of Duties，SoD）是一种控制原则：将相互冲突的职责分配给不同主体，防止单人完成全流程而缺乏制衡。典型冲突包括“创建供应商”与“审批付款”、“开发代码”与“发布上线”、“申请权限”与“审批权限”。SoD 评估通常先识别冲突职责对，再检查是否存在同一账户同时持有冲突权限的情况，若存在则判定为 SoD 违规，需要拆分角色或增加补偿性控制。
术语在企业评估中的联动关系
把上述术语串起来看，一次完整的访问过程是：身份通过某个账户，使用凭证完成认证，系统再根据该账户被授权的角色和权限进行鉴权，决定本次操作是否放行。若该账户还持有特权，则需额外审计；若其权限组合违反职责分离，则需拆分或补偿控制。
评估时可按这条链路逐段检查。例如某企业财务系统评估中，发现“付款单创建”和“付款单审批”两项权限同时授予了角色“财务专员”，且该角色下有 3 个账户。这就同时暴露了三个问题：角色设计未做 SoD 拆分、授权审批流于形式、账户权限未定期复核。整改方向相应明确：拆分角色、重新授权并留存审批记录、建立季度权限复核机制。
掌握这些术语的实际含义，是后续开展账户清点、权限梳理、特权审计和 SoD 冲突检测的基础。评估人员应能在看到任意一条权限记录时，快速判断它涉及哪些概念、对应哪类风险、需要哪种控制措施。