在評(píng)估身份和訪問(wèn)管理(IAM)平臺(tái)時(shí)，你會(huì)發(fā)現(xiàn)，其好處遠(yuǎn)遠(yuǎn)超過(guò)缺點(diǎn)。這就是說(shuō)，在設(shè)計(jì)IAM部署和持續(xù)維護(hù)流程時(shí)，你只需要考慮少數(shù)身份和訪問(wèn)管理風(fēng)險(xiǎn)。例如，當(dāng)你開始集中管理用戶名和身份驗(yàn)證機(jī)制時(shí)，你需要注意，該流程會(huì)帶來(lái)很大安全風(fēng)險(xiǎn)。

[[265238]]

因此，你需要在IAM部署的開始時(shí)就考慮安全性。這包括必要的防火墻和防御系統(tǒng)IPS防護(hù)，以及制定嚴(yán)格的訪問(wèn)政策，以嚴(yán)格限制誰(shuí)有權(quán)管理平臺(tái)。

通過(guò)政策降低身份和訪問(wèn)管理風(fēng)險(xiǎn)

另一個(gè)潛在的問(wèn)題是確定管理員如何管理企業(yè)內(nèi)基于角色的訪問(wèn)控制(RBAC)。管理員通常采用RBAC的方法來(lái)根據(jù)用戶訪問(wèn)類似資源的需要，將多個(gè)用戶捆綁到用戶組。雖然采用訪問(wèn)組的做法，可減少需要?jiǎng)?chuàng)建和維護(hù)的訪問(wèn)政策數(shù)量，但很多企業(yè)將過(guò)多的用戶集中到一個(gè)組中，其結(jié)果是有些用戶被授予權(quán)限訪問(wèn)他們不需要的應(yīng)用程序和服務(wù)。

這只會(huì)導(dǎo)致用戶訪問(wèn)不夠嚴(yán)格。在最壞的情況下，這可能導(dǎo)致不適當(dāng)?shù)穆氊?zé)分離，而這可能導(dǎo)致訪問(wèn)控制不合規(guī)。

當(dāng)你在部署IAM時(shí)，請(qǐng)務(wù)必制定政策，要求定期進(jìn)行訪問(wèn)控制審計(jì)。隨著用戶角色的轉(zhuǎn)變，這些用戶組的訪問(wèn)權(quán)限也應(yīng)該改變。此外，當(dāng)用戶職位改變時(shí)，請(qǐng)確保撤消所有先前的訪問(wèn)權(quán)限。

這種審計(jì)流程可降低身份和訪問(wèn)管理風(fēng)險(xiǎn)，并帶來(lái)兩個(gè)重要好處：首先，它會(huì)有詳細(xì)記錄的流程供IT部門遵循;其次，它將迫使IT管理員了解用戶執(zhí)行其特定職責(zé)所需的應(yīng)用程序和服務(wù)。