你真的弄懂了IAM吗？重新全面认识一下！

简单说，IAM只做两件事：

1、身份证明和确认；

2、授予权限以访问资源。

用个形象的比喻，IAM就好比当我们要进入一栋大楼，这时候我们需要先出示身份证明来验证我们的身份，然后才能进入大楼。

大楼的管理员会将你的身份和权限进行管理和控制，确保只有经过授权的人才可以进入特定区域或使用特定资源。管理员会根据你的身份和需要给你分配不同的门禁卡，以控制你能够进入哪些房间或楼层。

这个比喻中的大楼就好比企业内生的数字世界，每一层楼或房间代表着企业各个信息化、数字化系统与资源，甚至可以不断细化到某个系统的某个菜单下的某个功能或某个资源等；在某些特定场景下还需要更加深入到数据级的行和列的控制。

身份与访问控制管理（IAM）系统就是大楼的管理系统。它负责创建、验证和管理用户的身份信息，并分配和控制他们的访问权限。

它可以确保只有经过身份验证和授权的人才能访问到需要的资源，同时记录和监控他们整个访问行为，以便进行安全审计和合规性检查。

那企业IAM系统究竟是怎么去管理这些要进入企业数字世界的身份和对应的访问权限呢？这就要回到IAM本身进行解答。

首先，我们来看看IAM的定义，英文名称：Identity and Access Management，中文译为身份和访问控制管理。

字面可拆解为身份+身份管理+访问控制管理。那什么是身份？什么是身份管理？什么又是访问控制？

身份（Identity），即一个人或实体在特定环境中被识别和确认的方式。它通常由一些特征、属性、角色、权限等元素构成，用于确定一个人或实体的唯一性和辨识度。它是标识物理世界人或实体在数字世界的孪生复制体。

身份管理（Identity Management）则指管理和维护用户身份信息的过程和系统。它包括创建、验证、授权、更新和撤销用户身份等身份的生命周期管理，以确保身份信息变化能及时并正确的映射到数字世界。

访问控制（Access Control）是一种安全机制，用于控制对系统、应用程序、网络或资源的访问权限。它确定了谁可以访问何种资源，以及在何种条件下可以访问。访问控制的目的是保护敏感信息，防止未经授权的访问和数据泄露。

根据上述定义，我们可以看到，IAM的核心安全管理主线是为了保证正确的身份在正确的授权前提下访问正确的企业系统或资源。

但IAM的核心能力却并不像上面介绍的这么简单。根据Gartner的介绍，IAM核心能力包括身份治理与管理（IGA）、访问管理（AM）、用户认证、特权访问管理（PAM）。

而每一项能力背后都涉及了复杂的管理思想、安全策略以及技术实现。后续在书籍解读的其他主题分享中会对IGA与PAM进行详细介绍，这里主要和大家介绍下用户认证。

用户认证是指以隐含或名义上的信心或信任，对已创建的身份请求进行实时验证，使其能够访问数字资产。用户认证的本质是帮助识别已知用户，验证被请求的身份是否属于发出请求的用户。

当前，很多企业机构对数字业务的无密码认证技术越来越感兴趣，因为它们提供了更好的用户体验，并且可以避免攻击者利用密码固有的弱点。例如，密码可能被盗，且人们在多个网站使用同一个密码的情况并不少见。

目前，已有多种方法可以实现无密码认证，例如快速身份在线（FIDO）认证、“短信令牌”认证、OTP认证等都被广泛用于取代密码。