再看零信任，IAM為什么是它的核心？

2019年，美國國家標準委員會NIST對外正式發(fā)布了《零信任架構(gòu)》（《NIST.SP.800-207-draft-Zero Trust Architecture》），強調(diào)了零信任是一組不斷發(fā)展的網(wǎng)絡安全范例的術(shù)語。

在國內(nèi)引進零信任概念后，建立了以“SIM”為核心的零信任解決方案，即SDP（軟件定義邊界），IAM（增強身份管理），MSG（微隔離）。

其中，SDP 旨在使應用程序所有者能夠在需要時部署安全邊界，以便將資源與不安全的網(wǎng)絡隔離開來。SDP通過隱藏應用程序和資源，將網(wǎng)絡資源從公共網(wǎng)絡隔離，只允許經(jīng)過身份驗證的用戶會話通過安全網(wǎng)絡隧道連接到所需資源，從而幫助保護應用程序和數(shù)據(jù)資產(chǎn)免受網(wǎng)絡攻擊和未經(jīng)授權(quán)的訪問。

IAM，傳統(tǒng)的基于身份的訪問控制管理技術(shù)，從賬號、認證、授權(quán)、審計維度對主體訪問客體的行為進行靜態(tài)的訪問控制管理。而零信任架構(gòu)中的IAM是一種增強的IAM。

Gartner對其管控范圍進行了重新定義，要求從管理、保證、授權(quán)、分析維度對身份的整個生命周期進行管理，包括用戶身份的注冊、創(chuàng)建、轉(zhuǎn)移及在各個應用系統(tǒng)中的權(quán)限控制；更加強調(diào)動態(tài)的訪問控制能力，甚至采用更加先進的AI技術(shù)分析用戶訪問行為，從而更能適應不斷變化的風險威脅。

微隔離是一種能夠適應虛擬化部署環(huán)境，識別和管理數(shù)據(jù)中心內(nèi)部流量的一種隔離技術(shù)，其核心是對全部東西向流量的可視化識別與訪問控制。

它是一種區(qū)別于傳統(tǒng)防火墻的安全域隔離的技術(shù)，通過訪問控制策略和加密能力，對數(shù)據(jù)中心的工作負載、應用、服務進行更加細粒度的訪問控制，旨在收縮暴露面，并阻止病毒或風險的橫向移動，減少風險爆炸半徑。

那為什么說IAM是三大組件中的核心呢？IAM是數(shù)字世界與現(xiàn)實世界融合的交界點，無論是SDP還是微隔離本身就是一種可以使用的資源，在被使用或操作時首先需要進行身份鑒別和控制。

例如，SDP作為主體接入零信任網(wǎng)絡的入口點，本身就需要借助IAM的身份鑒別能力，來確認人、應用、客戶端設備等身份，還需要借助IAM的風險識別模塊對主體的安全性進行分析，只有確認主體的身份和安全性后才能讓其接人零信任網(wǎng)絡。

其次，增強IAM，它不僅有傳統(tǒng)4A的能力，還有持續(xù)動態(tài)認證的能力，包括能夠?qū)τ脩粼L問的所有會話進行用戶行為的風險分析，以對風險進行評估并能實時阻止風險訪問。當用戶訪問后端資源時，需要做到身份鑒別，風險鑒別，以及權(quán)限鑒別，進行身份優(yōu)先的全鏈路的安全防控。

最后，MSG，Gartner直接將MSG改為身份定義微隔離（Identity-Based segmentation），注重用身份來鑒別服務與服務之間的訪問，以做到更加細粒度的訪問控制能力。我們在服務之間無人參與的過程，更加需要為應用或服務定義身份和權(quán)限，因此微隔離的解決方案也對IAM有很高的依賴。

回到企業(yè)現(xiàn)實業(yè)務場景，現(xiàn)代企業(yè)IT環(huán)境雙態(tài)化（敏態(tài)和穩(wěn)態(tài)）。傳統(tǒng)的網(wǎng)絡界限也在上云、數(shù)字化等過程中逐步消失。現(xiàn)代企業(yè)的IT業(yè)務場景應該允許在任何設備上的任何地方和任意時間工作，并可以安全的訪問任何數(shù)字化生態(tài)系統(tǒng)中的工具、系統(tǒng)和數(shù)據(jù)，以滿足數(shù)字化平臺真正的生態(tài)化。

與此同時，企業(yè)安全威脅的嚴重性和復雜性繼續(xù)增加。這些都促使企業(yè)組織亟需一套整體的安全解決方案，以身份為優(yōu)先的一體化零信任解決方案也因此越來越受到企業(yè)CIO的認可。

零信任方案將安全能力從傳統(tǒng)網(wǎng)絡安全邊界擴展到主體、行為、客體資源，從而構(gòu)建“主體身份可信、業(yè)務訪問動態(tài)合規(guī)、客體資源安全防護、信任持續(xù)評估”的動態(tài)綜合縱深安全防御能力。

而IAM恰好能解決其中的核心問題。我們都知道人和設備無處不在，這不應該成為獲取服務的障礙。我們的首要任務是需要確保設備是安全的和可信的，當你讓它們訪問這些服務時，需要對人、設備進行安全控制。

這個過程中，最好的保障方式之一就是賦予身份，并進行身份和訪問控制管理。從而，確保正確的訪問主體在正確的設備、時間、地點和正確授權(quán)下訪問正確的數(shù)據(jù)、資產(chǎn)，并全程審計留痕。

所以，無論是從零信任的技術(shù)核心來看，還是回到企業(yè)實際的安全現(xiàn)狀與背景，IAM都是企業(yè)實施零信任解決方案的重中之重。這也是為什么業(yè)界稱零信任安全的本質(zhì)是以身份為中心進行動態(tài)訪問控制。