身份和訪問管理有哪些重大風險

潘藝全

在評估身份和訪問管理（IAM）平臺時，你會發現，其好處遠遠超過缺點。這就是說，在設計IAM部署和持續維護流程時，只需要考慮少數身份和訪問管理風險。例如，當你開始集中管理用戶名和身份驗證機制時，需要注意，該流程會帶來很大的安全風險。

因此，需要在IAM部署的開始時就考慮安全性。這包括必要的防火墻和入侵防御系統IPS防護，制定嚴格的訪問政策，以嚴格限制誰有權管理平臺。

另一個潛在的問題是確定管理員如何管理企業內基于角色的訪問控制（RBAC）。管理員通常采用RBAC方法來根據用戶訪問類似資源的需要，將多個用戶捆綁到用戶組。雖然采用訪問組的做法，可減少需要創建和維護的訪問政策數量，但很多企業將過多的用戶集中到一個組中，其結果是有些用戶被授予權限訪問他們不需要的應用程序和服務。

在最好的情況下，這只會導致用戶訪問不夠嚴格；在最壞的情況下，這可能導致不適當的職責分離，也可能導致訪問控制不合規。

最后，在部署IAM時，請務必制定政策，要求定期進行訪問控制審計。隨著用戶角色的轉變，這些用戶組的訪問權限也應該改變。此外，當用戶職位改變時，請確保撤消所有先前的訪問權限。

這種審計流程可降低身份和訪問管理風險，并帶來兩個重要好處：首先，它會有詳細記錄的流程供IT部門遵循；其次，它將迫使IT管理員了解用戶執行其特定職責所需的應用程序和服務。