身份与访问管理：数字时代的第一道防线

当应用、数据与算力都搬上网，"你是谁"就成了安全的首要问题。攻击者越来越不擅长攻破坚固的密码学，却极擅长偷到一个合法身份——凭证填充、会话劫持、被盗密码。身份，正在取代网络边界，成为新的护城河。

一、IAM 的四根支柱

• 统一身份（SSO）：一处认证、处处通行，收敛散乱的账号体系。
• 多因素认证（MFA）：密码泄露后的最后一道保险，务必全量推广。
• 最小权限（RBAC/ABAC）：只给完成任务所需的最小访问，定期回收。
• 特权账号管理（PAM）：对管理员、root 等高危账号做托管、审计与临时授权。

二、身份治理比认证更难

真正的痛点是"僵尸账号、权限蔓延、离职不回收"。建立身份生命周期管理：入职自动开通、转岗自动调整、离职即时回收，并周期性做权限复核（access review）。

三、与零信任合流

身份是零信任的决策核心。把身份、设备状态与上下文（时间、地点、行为）纳入持续评估，动态授予访问，才能让"一次认证、永久信任"彻底退出历史舞台。

防火墙挡不住一个合法的被盗账号。在云与远程的时代，管好身份，就是守住了通往核心资产的第一道、也是最重要的一道门。