身份与访问管理（IAM）
大多数公司只做对了身份管理的一半。他们部署了单点登录，为登录界面看起来更整洁而高兴，却从未真正回答其背后更难的问题：谁拥有对什么的访问权限，为什么，以及该撤销时是否真的撤销了。SSO 只是便利层。身份与访问管理才是对谁能接触什么的真正治理，而一旦做得不好，它会悄然成为整个组织最大的风险之一。
我见到的与身份失效有关的事件，很少是针对登录流程的复杂攻击。它们往往是前员工从未被注销的账户，无人记得是谁创建的、拥有管理员权限的服务账户，或是在合作结束六个月后仍能访问某个系统的承包商，因为离职流程依赖于有人记得手动去办。
我如何做 IAM
我从访问审计开始：现在究竟谁拥有对什么的访问权限，这是否与应有的一致。仅此一项通常就能发现早该移除的账户和权限。随后，我推进最小权限，在适合之处采用基于角色的访问，并在所有重要的地方启用多因素认证，而不只是在最容易启用的系统上。
真正能预防未来问题的是生命周期流程：与 HR 事件挂钩的、自动化或至少责任明确的权限授予和回收，定期的访问复核，让权限不会一直无限累积，以及针对管理员、数据库、云基础设施等可能造成真实破坏的账户的特权访问管理。我宁愿建立一个故障时趋于安全的系统，即访问默认到期、必须续期，也不愿依赖有人记得去清理。
哪些组织需要
如果您从未做过完整的访问复核，怀疑存在孤立账户，如果离职时的权限移除只是一项有时会被漏掉的手动清单事项，或者如果您正在扩张、访问请求开始显得随意，那么在它演变成事件之前，值得先解决。
联系我，我们来看看您的环境中访问权限今天究竟是什么样子。