第二章 将 IAM 建立为零信任基础

使用零信任访问（Zero Trust Access，ZTA）保护网络资源的第一步，是在授予访问权限之前验证用户身份。本章将介绍为什么身份和访问管理（Identity and Access Management，IAM）是 ZTA 的基石、如何管理网络中的特权访问，以及基于角色的访问控制（Role-Based Access Control，RBAC）在实施最小权限原则中的作用。

本章概要：

• 通过强身份认证验证用户
• 使用基于角色的访问控制实施最小权限
• 确保特权访问安全

了解谁连接到您的网络

安全团队需要始终了解网络上有哪些用户。组织必须掌握每个用户的身份及其在公司中的角色，IT 团队才能在需要时，仅向用户安全地授予其角色或工作所必需的资源访问权限。

然而，使用弱密码连接网络的用户会给组织带来日益严重的风险。当今大量在线账户都需要用户凭据，导致密码往往过于简单，或在多个账户中重复使用。攻击者很容易利用网络钓鱼和社会工程等手段攻破这些密码。即使组织要求用户设置复杂密码，仅靠密码也并不足够。

强身份认证或多因素身份认证（Multi-Factor Authentication，MFA），是指组合使用多种认证因素来验证用户是否确为本人，例如：

• 您知道的信息：例如用户 ID 和密码
• 您拥有的物品：例如硬件令牌、软件令牌，或安装在设备上的数字证书
• 您的生物特征：例如指纹或虹膜图案等生物特征指标

自适应身份认证或上下文身份认证会在用户尝试登录时评估其他属性，例如时间、地理位置，以及所用网络是否可信，并在允许访问之前评估风险。该技术可以：

• 在风险被判定为较低时允许用户访问
• 在风险被判定为较高时要求进行双因素身份认证（2FA）

例如，自适应身份认证可以利用网络属性判断风险。现场用户位于企业网络中时，系统不会提示其进行 2FA；但同一用户从公共网络或家庭网络登录并尝试访问企业资源时，系统会要求其完成 2FA，以进一步验证身份。

相关信息

Technical Stuff

快速身份在线（Fast Identity Online，FIDO）为在线应用程序和服务提供安全、快捷的登录体验。FIDO 同时支持通用身份认证框架（Universal Authentication Framework，UAF，即无密码身份认证）和通用第二因素（Universal 2nd Factor，U2F，即通用双因素身份认证）。

当今组织面临的另一个挑战是员工分布在不同地理位置。员工可能在总部、分支机构或家庭办公室等不同地点工作。

为了适应不断变化的工作方式——包括全球疫情后兴起的居家办公和随处办公——以及持续向云端迁移的趋势，组织需要采用更好的方法，将员工安全地连接到关键业务应用程序。

注意

针对终端设备的攻击正在增加。根据近期的 Ponemon Sullivan 隐私报告，68% 的受访者表示，过去 12 个月中针对终端的攻击频率有所上升；《Verizon 数据泄露调查报告》则发现，30% 的数据泄露事件涉及安装在终端上的恶意软件。

如今，在自带设备（Bring Your Own Device，BYOD）环境中，获准接入的个人移动设备几乎没有标准化的设备配置。BYOD 移动设备相关的网络风险包括：

• 数据泄露
• 不安全的 Wi-Fi
• 网络欺骗
• 已取得 Root 权限或越狱设备上未修复的漏洞
• 恶意软件和间谍软件
• 密码算法或加密机制失效
• 会话处理不当

如果访问权限建立在对先前已审核设备的假定信任之上，组织同样会面临风险。许多组织曾遭到离职员工和承包商入侵；丢失或被盗的设备也可能泄露密码，从而导致网络被攻破。这正是零信任安全方法至关重要的原因。网络犯罪分子正将目标对准各种网络设备，因此安全团队需要更全面地洞察和检测每台连接网络的设备。

当今的企业身份环境由多种系统组成，其中可能包括网络设备、服务器、目录服务和云应用程序。管理分散在这些系统中的身份，很快就会演变为庞大的管理挑战，并对用户、管理员和应用程序开发人员产生负面影响。

联合身份是一种解决方案，使一组相互关联的组织中的用户，可以通过同一种用户验证方式访问不同的应用程序和资源。它通过跨多个域与网络关联用户的在线身份来实现这一目标。联合身份可以解决组织常见的多种访问与安全问题。组织可使用 MFA 和单点登录（Single Sign-On，SSO）等安全工具管理用户访问，同时简化应用程序的使用。例如，组织可以通过联合访问让用户进入合作伙伴网站、Active Directory 和 Web 应用程序，而不必每次都重新登录。

提示

稳健的 IAM 解决方案应具备以下能力：

• 通过登录、MFA 和数字证书建立身份，并可进一步扩展上下文身份认证
• 同时支持 MFA 的硬件令牌和软件令牌，以及 FIDO、UAF 和 U2F
• 从身份认证源获取基于角色的信息，用于管理特权访问
• 建立并实施基于角色的最小权限访问策略
• 支持 SSO，以提供额外安全保护，并帮助提高用户合规性和采用率
• 使用安全断言标记语言（Security Assertion Markup Language，SAML）验证用户身份，使其访问基于云的软件即服务（SaaS）应用程序
• 按会话验证设备和用户通往单个应用程序的零信任网络访问（ZTNA）连接

实施基于角色的最小权限访问

即使只有数百名用户，逐一管理每个用户账户的权限也可能是一项艰巨的工作；在拥有数千名用户的企业中，这项工作甚至可能无法完成。基于角色的访问控制（RBAC）通过将权限集合分配给用户组或角色，使 IT 管理员能够更高效地管理用户权限。例如，可以快速为整个部门的用户分配敏感财务应用程序或网络文件共享的访问权限。

此外，当用户因晋升或调动等原因转任其他岗位时，管理员可以轻松撤销与旧角色关联的权限，并分配与新角色关联的权限。Active Directory 经常在 RBAC 管理中发挥关键作用。

然而，RBAC 也可能是一把双刃剑。必须明确定义每个角色，并且只分配履行该角色所需职能的最低限度权限，这就是最小权限原则。如果角色定义过于宽泛，为了笼统地满足所有人的需求，大量用户可能会获得过多权限。如果角色定义不清，管理员也容易误解角色含义，从而把用户错误地分配到相应角色。

最后，组织必须主动管理角色，确保及时、正确地撤销和分配角色，并确保角色关联的权限能够反映组织和/或 IT 基础设施的变化。如果没有及时撤销角色或权限，就可能在组织中形成“权限蔓延”，使大批用户拥有超出实际需要的权限。

管理特权访问

关联了特权访问权限的账户对攻击者而言尤其有价值。这类账户通常能够访问网络中的关键系统和资源，以及机密或敏感数据。特权访问允许用户对系统、应用程序、网络和安全基础设施进行管理性变更，例如安装软件（或恶意软件）、修改（或删除）关键系统文件或数据、创建新账户，以及重置用户密码。

特权访问权限可以分配给由人员使用的账户或角色，例如域管理员、本地管理员、紧急“破窗”账户、超级用户和拥有特权的业务用户；也可以分配给不由人员直接使用的账户，例如应用程序账户和服务账户。

特权访问管理（Privileged Access Management，PAM）是 IAM 的一个子集。IAM 用于对组织的所有用户进行身份认证和授权，而 PAM 专门关注如何管理并保护拥有提升权限的管理员和用户账户，也就是保护特权访问。

提示

Case Study

公用事业公司加强 IT 与 OT 基础设施安全

Falu Energi & Vatten（能源与水务）是一家市属公用事业公司，在瑞典法伦市提供电力、供暖与制冷、供水、污水处理和回收等产品与服务。

挑战

早在 2009 年，Falu Energi & Vatten 就比许多其他公用事业公司更早认识到数字化转型的潜力和必要性，并启动了一项长期项目，对支撑其运营的大量流程与工具进行现代化和数字化改造。

为这些变化做好准备的第一步，是认识到其 IT 网络与安全基础设施需要具备端到端的可见性、控制能力和集成水平，而原有防火墙架构无法满足这些要求。

解决方案

在仔细评估潜在解决方案后，Falu Energi & Vatten 选择了 Fortinet。

最终构建的网络包括 FortiGate 下一代防火墙（NGFW）、FortiSwitch 和 FortiAP 无线接入点。公司还加入 FortiClient、FortiAuthenticator 和 FortiToken，以确保每个连接的用户与设备都经过强身份认证，并满足其零信任访问要求。

FortiClient 内置的软件清单模块提高了 Falu Energi & Vatten 对终端已安装软件的可见性。除了管理许可证，软件清单还有助于改善安全卫生状况。如果已安装的软件并非业务所需，它会徒增潜在漏洞，并提高系统遭到入侵的可能性。

业务影响

• 通过集中监控和控制安全策略，提高关键服务的安全性、可靠性和效率
• 为持续推进信息技术（IT）与运营技术（OT）集成奠定基础
• 提供公司数字化转型所需的集中可见性、控制能力和自动化能力

借助最终建成的网络基础设施，Falu Energi & Vatten 已经拥有坚实基础，可以为自身业务和法伦社区构建一个更加安全、可靠和高效的未来。

更新历史

Ver	Description	Author	Rev	Date
1.0	First Complete	ysheng	tanga	2026.08.26
0.1	Draft Version	-	-	2026.08.04