再看零信任，IAM为什么是它的核心？

2019年，美国国家标准委员会NIST对外正式发布了《零信任架构》（《NIST.SP.800-207-draft-Zero Trust Architecture》），强调了零信任是一组不断发展的网络安全范例的术语。

在国内引进零信任概念后，建立了以“SIM”为核心的零信任解决方案，即SDP（软件定义边界），IAM（增强身份管理），MSG（微隔离）。

其中，SDP 旨在使应用程序所有者能够在需要时部署安全边界，以便将资源与不安全的网络隔离开来。SDP通过隐藏应用程序和资源，将网络资源从公共网络隔离，只允许经过身份验证的用户会话通过安全网络隧道连接到所需资源，从而帮助保护应用程序和数据资产免受网络攻击和未经授权的访问。

IAM，传统的基于身份的访问控制管理技术，从账号、认证、授权、审计维度对主体访问客体的行为进行静态的访问控制管理。而零信任架构中的IAM是一种增强的IAM。

Gartner对其管控范围进行了重新定义，要求从管理、保证、授权、分析维度对身份的整个生命周期进行管理，包括用户身份的注册、创建、转移及在各个应用系统中的权限控制；更加强调动态的访问控制能力，甚至采用更加先进的AI技术分析用户访问行为，从而更能适应不断变化的风险威胁。

微隔离是一种能够适应虚拟化部署环境，识别和管理数据中心内部流量的一种隔离技术，其核心是对全部东西向流量的可视化识别与访问控制。

它是一种区别于传统防火墙的安全域隔离的技术，通过访问控制策略和加密能力，对数据中心的工作负载、应用、服务进行更加细粒度的访问控制，旨在收缩暴露面，并阻止病毒或风险的横向移动，减少风险爆炸半径。

那为什么说IAM是三大组件中的核心呢？IAM是数字世界与现实世界融合的交界点，无论是SDP还是微隔离本身就是一种可以使用的资源，在被使用或操作时首先需要进行身份鉴别和控制。

例如，SDP作为主体接入零信任网络的入口点，本身就需要借助IAM的身份鉴别能力，来确认人、应用、客户端设备等身份，还需要借助IAM的风险识别模块对主体的安全性进行分析，只有确认主体的身份和安全性后才能让其接人零信任网络。

其次，增强IAM，它不仅有传统4A的能力，还有持续动态认证的能力，包括能够对用户访问的所有会话进行用户行为的风险分析，以对风险进行评估并能实时阻止风险访问。当用户访问后端资源时，需要做到身份鉴别，风险鉴别，以及权限鉴别，进行身份优先的全链路的安全防控。

最后，MSG，Gartner直接将MSG改为身份定义微隔离（Identity-Based segmentation），注重用身份来鉴别服务与服务之间的访问，以做到更加细粒度的访问控制能力。我们在服务之间无人参与的过程，更加需要为应用或服务定义身份和权限，因此微隔离的解决方案也对IAM有很高的依赖。

回到企业现实业务场景，现代企业IT环境双态化（敏态和稳态）。传统的网络界限也在上云、数字化等过程中逐步消失。现代企业的IT业务场景应该允许在任何设备上的任何地方和任意时间工作，并可以安全的访问任何数字化生态系统中的工具、系统和数据，以满足数字化平台真正的生态化。

与此同时，企业安全威胁的严重性和复杂性继续增加。这些都促使企业组织亟需一套整体的安全解决方案，以身份为优先的一体化零信任解决方案也因此越来越受到企业CIO的认可。

零信任方案将安全能力从传统网络安全边界扩展到主体、行为、客体资源，从而构建“主体身份可信、业务访问动态合规、客体资源安全防护、信任持续评估”的动态综合纵深安全防御能力。

而IAM恰好能解决其中的核心问题。我们都知道人和设备无处不在，这不应该成为获取服务的障碍。我们的首要任务是需要确保设备是安全的和可信的，当你让它们访问这些服务时，需要对人、设备进行安全控制。

这个过程中，最好的保障方式之一就是赋予身份，并进行身份和访问控制管理。从而，确保正确的访问主体在正确的设备、时间、地点和正确授权下访问正确的数据、资产，并全程审计留痕。

所以，无论是从零信任的技术核心来看，还是回到企业实际的安全现状与背景，IAM都是企业实施零信任解决方案的重中之重。这也是为什么业界称零信任安全的本质是以身份为中心进行动态访问控制。