零信任体系下现代化IAM建设

零信任体系下现代化IAM建设

面对公司业务的快速发展与新时代数字化转型的挑战，IAM建设之路如何推进，如何借助IAM平台助力零信任安全体系的落地？

2020年的一场突如其来的全球疫情，给远程办公、教学、开发测试及运维等远程访问业务开展按下了加速键，使得远程接入、访问、会议、传输等的办公方式、平台以及网络设备得到了迅速普及和使用。远程访问常态化打破了传统的网络安全边界，亟需全新的适用于新型IT环境的安全访问控制体系，以应对日益严峻的网络安全形势。在这种背景下，企业打破过去基于VPN或内外网的隐式信任原则，采用零信任安全架构，升级优化远程访问场景下安全能力的体系化建设显得尤为迫切。

一、初识零信任

零信任（Zero Trust）最早是由约翰·金德瓦格（Jon Kindervag）在201 0年提出的。这一理念对传统的安全模型假设进行了彻底颠覆，打破了默认的信任，强调“持续验证，永不信任”。在零信任网络中，对于任何用户、设备，流量，不再根据其是否处于组织内部网络来判断可信，而是需要先评估及验证其可信度，因此在其访问企业资源的整个过程中，都需要根据上下文信息持续地、动态地做信任评估与授权控制，以保证持续的可信，并且需要将所有的访问都进行记录和跟踪。

零信任的本质是以身份为基石，通过在业务资源的访问过程中，持续地进行信任评估和动态安全访问控制，即对默认不可信的所有访问请求进行加密、认证和授权，并且汇聚关联各种数据源进行信任评估，从而根据信任的程度动态对权限进行调整，最终在访问主体和访问客体之间建立一种动态的信任关系。

零信任安全架构下，被访问资源是作为核心来保护的，因此需要针对被保护的资源构建正交的控制平面和数据平面作为保护面。资源包括一切可被操作的实体，包括终端设备、服务器、数据库、API、功能等。访问的身份主体包括人员、设备、应用、系统等，通过策略引擎进行动态访问控制评估，根据信任评估和鉴权结果决定是否对访问请求放行或者执行附加校验。

图1 零信任架构核心逻辑组件

由此可见，细粒度的身份认证及授权控制是零信任落地的关键。而现代化I AM（身份与访问管理）正是助力企业安全从粗粒度访问控制升级到多层级、细粒度动态访问控制的关键组件。可以说零信任模型需要基于现代化IAM方案构建。如果没有现代化IAM，零信任也将是无根之木，无源之水。对于大多数企业来说，有效保护数据资产，防止数据泄露，做好现代化IAM建设则是基本功。Gartner新发布《2020年规划指南：身份和访问管理》中也提出关键论点：IT必须推进现代化IAM计划。

二、什么是IAM？

引用Gartner对IAM的定义：身份与访问管理IAM( Identity and Acc ess Management)是一系列的技术和流程的集合，这一集合用于保障正确的人以正确的方式在正确的时间以正确的理由访问正确的企业资源，从而确保企业业务目标的达成。

IAM由身份治理与管理IGA（Identity governance and administratio n）、认证（Authentication）、授权（Authorization）三部分组成，三部分并非相互独立，而是相互关联、相互协作。使用者可以统一管理和控制接入实体的认证和授权，更安全地自主管控不同身份实体对资源的访问权限。

1、身份治理与管理：定义谁可以接入访问，管理接入实体。而这些实体包括：用户、应用、设备等身份。这一模块涉及到对身份生命周期管理、权限管理、角色分组和组织架构管理、访问控制请求、日志审计及分析报告等。