3. 企业身份基础设施盘点

身份基础设施盘点不是简单地把系统名称列成一张清单，而是要回答三个问题：身份从哪里来、认证沿什么路径发生、权限最终落在哪里。这三条线索分别对应身份源、认证链路和权限存储，它们共同构成一张可追溯的资产地图。缺少任何一条，后续的权限评估都会失去基准。

一、先分清七类系统的角色定位

企业里常见的身份系统往往同时存在，但职责并不相同。盘点时最容易犯的错误是把它们混为一谈，导致后续评估对象错位。

• AD（Active Directory）：Windows 域环境的核心目录，既是身份源，也是认证服务，还承载组策略和部分权限模型。域控（DC）是它的关键资产。
• LDAP：轻量目录访问协议，常作为 AD 之外的独立目录，如 OpenLDAP、ApacheDS，多用于 Linux 应用、网络设备、VPN 的统一账号库。
• IAM：身份与访问管理平台，负责账号生命周期、角色分配、审批流，通常作为“身份治理中枢”，但不一定直接参与每次认证。
• SSO：单点登录，解决“一次登录访问多系统”，常见协议有 SAML、OIDC、CAS。它本身不存储密码，而是信任身份提供方（IdP）。
• MFA：多因素认证，是认证链路上的增强环节，可能独立部署，也可能内嵌在 SSO 或 VPN 中。
• PAM：特权访问管理，面向运维、数据库、云管账号等特权身份，负责密码托管、会话审计、命令拦截。
• 云 IAM：云平台自带的身份体系，如阿里云 RAM、AWS IAM、Azure Entra ID，管理云资源访问策略。

这七类系统之间不是并列关系，而是存在明确的上下游：AD/LDAP 往往是身份源，IAM 做治理，SSO/MFA 做认证，PAM 和云 IAM 做特权与云侧权限收敛。盘点的第一步，就是给每个系统打上“身份源 / 认证 / 权限存储 / 治理”的角色标签。

二、身份源盘点：找到“账号的出生地”

身份源是账号被创建和维护的地方。实际环境中，身份源往往不止一个，常见组合是：AD 作为主身份源，LDAP 作为补充，云 IAM 和 PAM 各自维护独立账号。盘点时需要记录每个身份源的以下字段：

判断权威性有一个实用方法：看账号在哪里被创建、在哪里被禁用。如果员工入职时账号在 AD 创建，离职时在 AD 禁用，那么 AD 就是主身份源；如果某个业务系统自己建账号、自己删账号，它就是独立身份源，需要单独纳入评估范围。

三、认证链路盘点：把“登录路径”画出来

认证链路是用户从输入凭证到获得会话的完整路径。它通常不是一条直线，而是包含多个跳转和信任关系。以“员工访问内部 OA”为例，典型链路是：

用户浏览器 → SSO 门户（IdP）→ AD 验证密码 → MFA 二次验证
→ SSO 签发 SAML 断言 → OA 系统校验断言 → 建立会话

在这条链路中，AD 是凭证校验方，SSO 是信任签发方，MFA 是增强环节，OA 是依赖方。盘点时要记录每个环节的协议、端口、证书和信任配置，尤其是 SAML 证书、OIDC Client Secret 这类“信任凭据”的存放位置和有效期。

四、权限存储盘点：权限到底存在哪里

权限存储是权限评估的核心对象。不同系统的权限模型差异很大：

• AD：权限主要存在组（Group）和 ACL 中，包括域本地组、全局组、通用组，以及文件/共享的访问控制列表。
• LDAP：权限常通过组条目和 ACL 规则表达，如 olcAccess 配置。
• IAM：权限以角色（Role）和策略（Policy）形式存储，通常有数据库表或配置中心。
• PAM：权限体现为“谁能访问哪台目标机、哪个特权账号”，存储在 PAM 自身的策略库中。
• 云 IAM：权限以策略文档（Policy JSON）形式存在，绑定到用户、组或角色。

盘点权限存储时，要特别关注权限的“影子副本”：同一个权限可能在 AD 组、IAM 角色、云 IAM 策略中各有一份，彼此不同步。这类影子权限是评估中最容易遗漏的风险点。

五、资产地图：把三条线索合成一张图

完成上述盘点后，把身份源、认证链路、权限存储三类信息叠加到同一张图上，就得到身份基础设施资产地图。下图展示了一个典型企业的简化地图：左侧是身份源，中间是认证与治理链路，右侧是权限存储与目标系统。

六、盘点成果的落地形式

资产地图不是一次性文档，而应作为持续维护的台账。建议至少包含以下字段：系统名称、角色标签（身份源/认证/权限存储/治理）、协议与端口、账号规模、信任关系、权限存储位置、负责人、最近核对日期。每季度或每次重大变更后更新一次。

完成本节盘点后，你应当能够回答：企业有哪些身份源、每个账号从哪里来、一次登录经过哪些系统、权限最终存在哪些位置。这张地图是后续身份权限安全评估的基准坐标系，所有风险发现都应能定位到地图上的具体节点和连线。