【IT168 图书】本文节选自《云安全与隐私》一书的第五章。本章介绍身份及访问管理(IAM )实践的当前状况，还将介绍有助于对于用户访问云计算服务而进行认证、授权和审计的身份及访问管理支持特性。

　　信任边界以及身份及访问管理

　　在典型的机构中，应用程序部署在机构的范围之内，“信任边界”处于IT 部门的监测控制之下，几乎是静态的。在传统模式下，信任边界包括网络、系统和位于私有数据中心并由IT 部门(有时是在IT 监管下的第三方提供商)管理的应用程序。通过虚拟专用网络(VPN )、入侵检测系统(IDS )、入侵防御系统(IPS )以及多因素身份认证等网络安全控制手段，对网络、系统和应用程序进行安全访问。

　　采用云计算服务以后，机构的信任边界将变成动态的，并且迁移到IT 控制范围之外。在云计算中，机构的网络、系统和应用程序的边界将延伸到服务提供商的范围内(对于大多数从事电子商务、供应链管理、外包和与合作伙伴及社团协作的大公司来说这早已是事实)。这种控制权的丢失，对已有的信任管理和控制模式(包括对于员工和承包商的可信来源)形成了很大的挑战，并且若没有得到妥善管理，将对机构采用云计算服务造成阻碍。

　　为了弥补网络控制的丢失以及加强风险保障，机构将不得不采用更高级别的软件控制，例如应用程序安全和用户访问控制。这些控制表现为强认证、基于角色或声明的授权、准确属性的可靠来源、身份联合、单点登录(SSO )、用户行为监测以及审计。特别地，机构需要注意身份联合架构和流程，因为这可以加强机构和云计算服务提供商(CSP )之间的控制和信任。

　　身份联合是个为处理多态、动态、松散耦合的信任关系而兴起的行业非常好的实践，而信任关系则是机构外部和内部供应链及协作模式的特征。身份联合也使被机构信任边界分隔的系统及应用程序能够实现交互，例如一个销售人员从企业网络中与Salesforce.com 进行交互。由于结合了良好的身份及访问管理实践，身份联合可以通过集中访问控制服务使用授权、网络单点登录以及权限管理的方式实现强认证，身份联合对于加速机构采用云计算会发挥核心作用。

　　在一些情况下，机构内的IAM 实践可能因为缺乏集中的管理及身份信息架构而受到影响。身份存储往往是通过多个管理员手动输入的，并且用户开通过程也没有很好的规范。这样做不仅效率低下，同时也会将现有的不良做法沿袭到云计算服务中。在这样的情况下，弱访问模式将使云计算中未授权用户的权限过度泛滥。

　　IAM 是一条双行道。云计算服务提供商需要支持IAM 标准(例如SAML )和实践，例如为用户利用身份联合扩大其实践以保持符合内部政策和标准。支持IAM 功能的云计算服务，例如身份联合，会加速传统IT 应用程序从可信公司网络到可信云计算服务模式的迁移。对于用户而言，良好实施的用户IAM 实践和流程将有助于保护存储于云计算中信息的保密性、完整性以及管理合规性。支持IAM 标准的云计算服务如SAML ，可以加速新的云计算服务的采用，并推动IT 应用程序从可信公司网络到可信云计算服务模式的迁移。