CISSP 域5知识点 身份全生命周期管理

CISSP考点速记Domain5 身份全生命周期管理 官方定位Domain 5 身份与访问管理的核心模块占Domain5权重40%以上对应OSG第十版**第13章《Managing Identity and Access》**全部内容 Domain1合规要求 Domain7审计要求。是IAM体系的核心骨架企业合规审计的核心重点。✨ 一、6条底层红线规则考试不可突破身份必须全局唯一一人/一设备/一服务一号绝对禁止共享账号高安全场景下完全禁用。权限必须按需分配、最小特权仅授予完成当前业务必需的最小权限禁止永久过度授权权限必须与身份的业务生命周期完全同步。身份全流程必须全程可审计、不可篡改所有创建、变更、授权、停用操作必须留存完整日志满足合规最低留存要求。身份停用必须实时执行人员离职、业务终止、设备报废时必须立即回收所有权限、禁用身份禁止出现孤儿账号。最终责任由最高管理层承担不可通过外包、托管转移所有操作必须符合业务覆盖地区的合规法规要求。零信任核心原则身份是访问控制的核心边界而非网络位置每一次访问都必须基于身份进行验证无论内外网。 二、官方标准术语速查厘清边界规避易错点数字身份主体在数字系统中的唯一、可验证标识用于确认真实身份包括用户、设备、服务、API等全类型主体。主体请求访问资源的主动实体员工、外包、设备、服务、应用、API。客体被主体访问的被动资源文件、数据库、应用、系统、网络、设备。凭证用于验证身份真实性的材料密码、证书、令牌、生物特征、私钥、OTP等。身份供应为主体创建数字身份、分配初始权限、开通系统访问的全流程生命周期起点。身份撤销主体业务生命周期结束时禁用/删除身份、回收所有权限、吊销凭证的全流程生命周期终点。特权账号拥有系统/应用最高管理权限的账号管理员、Root、系统服务、数据库管理员等是生命周期风险最高的管控对象。孤儿账号主体业务生命周期结束后未被及时禁用/删除的遗留账号是最常见的安全风险与合规违规点。权限蠕变/累积主体岗位/业务变动时旧权限未被回收持续叠加新权限最终权限超出业务需求违背最小特权原则。用户访问评审定期对身份的权限进行全面审计复核验证权限与业务需求的匹配度清理冗余权限、违规账号是生命周期中合规管控的核心环节。最小特权原则仅授予主体完成本职工作必需的最小权限与最短生效时间是身份全生命周期管理的第一核心原则。职责分离将高风险操作的不同环节拆分给不同主体禁止单个主体完成全流程操作防范权限滥用与内部舞弊是授权环节的核心规则。SCIM跨域身份管理系统用于不同系统之间身份信息自动同步的标准化协议是身份全生命周期自动化管理的核心技术标准。联合身份跨企业、跨系统、跨云平台的身份信任体系实现一次认证、多处访问是跨组织身份生命周期管理的核心框架。 三、身份全生命周期标准闭环流程官方核心框架必考OSG第十版明确身份全生命周期管理必须形成完整的闭环共7个环节1个前置阶段 6个核心阶段。️ 前置阶段身份规划与设计官方核心要求生命周期管理的前置基础必须在身份创建前完成顶层设计避免后续管控混乱安全左移。核心落地动作定义身份分类与分级按主体类型、风险等级、业务重要性划分制定差异化管控规则。制定身份标准明确全局唯一的身份命名规则、属性规范、密码策略、凭证要求、权限分级标准。设计授权模型确定企业统一的访问控制模型RBAC/ABAC/MAC/DAC明确权限申请、审批、变更的流程规则。明确责任边界定义HR、业务部门、IT、安全、审计在生命周期各环节的职责。合规适配匹配合规法规GDPR、SOX、HIPAA、PCI‑DSS等明确日志留存、权限评审、数据最小化的合规要求。考试高频考点身份规划必须与业务战略、合规要求完全对齐授权模型必须在规划阶段确定职责分离必须在规划阶段明确高风险操作的拆分规则。阶段1身份创建与供应Provisioning官方定义生命周期的起点为合法主体创建全局唯一的数字身份分配最小必要的初始权限开通对应系统的访问权限。官方标准供应类型① 自动供应与HR系统、资产管理系统联动基于岗位/角色自动创建身份、分配初始权限全程无人工干预。官方推荐的首选方式减少人工错误实现实时供应高频考点。② 工作流驱动供应用于外包、第三方、临时项目人员基于正式的申请‑审批工作流创建并分配权限必须留存完整审批记录。必须经过业务负责人、安全部门的多级审批禁止无审批创建。③ 自助注册供应用于客户、外部用户、公开服务用户基于实名验证自助注册默认分配最小权限。必须启用强身份验证禁止匿名身份获得敏感资源访问权限。④ 联合身份供应用于跨企业、跨云合作场景基于SAML/OIDC联合身份协议通过信任的身份提供商完成核验自动创建本地影子账号。必须明确信任边界与权限范围禁止过度授权。 官方强制安全要求身份全局唯一一人一号、一设备一号绝对禁止共享账号。最小特权初始权限必须严格遵循最小特权原则仅授予完成入职/业务必需的最小权限禁止默认分配全量权限。强密码MFA必须强制启用强密码策略、多因素认证MFA尤其是特权账号、远程访问账号。有效期身份创建必须有明确的有效期临时身份必须设置自动过期时间。全程留痕所有创建操作必须留存申请、审批、创建的完整审计日志。考试高频考点自动供应是官方推荐首选临时身份必须设置自动过期永久权限必须经过最高级别审批共享账号是高安全场景下完全禁用所有场景题中使用共享账号的选项均为错误答案。阶段2身份认证与授权管理官方定义生命周期的核心管控环节验证身份的真实性为合法身份分配与业务需求匹配的访问权限访问控制核心落地。 官方核心认证要求必须基于“你知道什么、你拥有什么、你是什么”三类因素实施多因素认证MFA高风险场景强制启用。禁止弱密码、默认密码、空密码定期轮换密码禁止密码复用。特权账号、远程访问账号、敏感系统账号必须启用强制MFA无例外。必须实现单点登录SSO减少凭证暴露面同时实现统一认证策略管控。️ 官方标准授权模型必考① RBAC基于角色的访问控制核心定义以岗位/角色为核心权限绑定到角色主体通过归属角色获得对应权限。特点权限与角色绑定人员变动仅需调整角色归属运维简单、标准化程度高。适用场景企业内部员工、标准化岗位当前最主流的授权模型。核心考点最高频模型核心是“角色‑权限”绑定而非“用户‑权限”直接绑定可有效防范权限蠕变。② ABAC基于属性的访问控制核心定义基于主体属性、资源属性、环境属性、操作属性通过动态策略决定是否授权访问。特点动态细粒度授权无需预定义角色适配复杂的跨组织、云原生场景。适用场景云平台、跨企业合作、零信任架构、动态业务场景。核心考点第十版重点强化动态策略授权适配零信任“始终验证”原则。③ MAC强制访问控制核心定义系统基于安全标签强制控制主体对客体的访问用户无法自主修改权限。特点安全性极高强制管控不可绕过。适用场景政府、军方、涉密系统、高安全等级场景。核心考点系统强制控制用户无法自主分配权限与DAC完全相反。④ DAC自主访问控制核心定义资源的所有者可自主决定将权限分配给哪些主体。特点灵活性高管控粒度细安全性弱。适用场景普通办公系统、个人文件共享。核心考点资源所有者自主分配权限是最基础的授权模型。⑤ PBAC基于策略的访问控制核心定义企业级统一的授权策略框架所有授权行为都遵循全局统一的安全策略。特点集中化策略管控跨系统、跨平台统一执行。适用场景大型企业、多云、分布式系统。核心考点是RBAC/ABAC的上层策略框架实现企业级统一授权管控。 官方强制授权要求最小特权严格遵循最小特权原则仅授予完成业务必需的最小权限。职责分离严格执行职责分离原则高风险操作必须拆分环节禁止单人全流程操作。有效期权限必须设置明确的有效期临时权限到期自动回收禁止永久权限。审批留痕所有授权操作必须经过正式审批全程留痕可审计。考试高频考点RBAC与ABAC的核心区别与适用场景是必考区分题职责分离是强制要求所有场景题中单人完成全流程高风险操作的选项均为错误答案临时权限必须设置自动过期到期自动回收是高频场景题考点。阶段3身份运维与变更管理官方定义针对主体岗位变动、部门调整、业务变化、设备状态变更同步调整身份属性、权限范围、访问规则确保权限始终与业务需求对齐防范权限蠕变。 官方标准变更场景与强制要求① 岗位/部门变动原则必须执行“先回收旧权限再分配新权限”绝对禁止只加不减。流程新权限必须基于新岗位的角色重新分配经过正式审批。② 临时权限变更要求必须明确申请事由、有效期、权限范围经过多级审批到期自动回收。红线禁止临时权限永久化。③ 特权权限变更要求必须经过最高级别审批全程录屏审计实施双人控制。④ 身份状态变更要求主体长期休假、离岗、设备离线时必须立即锁定身份禁用所有访问权限返回岗位时重新核验身份后解锁。⑤ 凭证变更要求必须定期轮换密码、证书、密钥凭证泄露时必须立即重置吊销旧凭证同步更新所有系统配置。 官方最佳实践与HR系统、资产管理系统联动实现人员/设备状态变动的自动同步自动调整权限减少人工操作。建立权限申请、审批、变更、回收的标准化工作流所有变更全程留痕。定期清理冗余权限、休眠账号、长期未使用的权限防范权限蠕变。考试高频考点岗位变动必须先回收旧权限再分配新权限禁止权限叠加是防范权限蠕变的核心措施高频场景题考点长期未登录的休眠账号必须锁定重新启用必须重新核验身份与审批权限特权账号的权限变更必须经过严格审批与双人控制。阶段4身份审计与合规评审官方定义生命周期的合规管控核心环节通过持续监控、定期审计、全面评审验证身份与权限的合规性发现并整改违规风险确保全流程符合安全策略与合规要求官方强制必选环节。 官方强制审计要求① 持续监控与实时告警对身份的异常登录、越权访问、权限变更、特权操作、批量账号变动进行实时监控异常行为立即触发告警。② 用户访问评审官方强制最低频率普通用户账号至少每年1次全面评审。特权账号、高风险岗位账号至少每季度1次全面评审。第三方/外包/临时账号至少每半年1次全面评审。③ 职责分离审计定期审计高风险操作的职责分离执行情况排查单人全流程操作的违规场景。④ 日志审计所有身份的创建、认证、授权、变更、停用操作必须留存不可篡改的审计日志。日志留存时长必须满足合规要求通用场景至少6个月金融/医疗/涉密场景需留存3‑7年。⑤ 合规报告定期输出身份合规审计报告提交管理层与审计部门留存用于监管合规检查。考试高频考点用户访问评审是官方强制要求的合规环节必须按频率定期执行是必考概念题特权账号的评审频率远高于普通账号是高频考点审计日志必须不可篡改、不可删除必须备份到独立的日志服务器是合规强制要求异常行为监控必须实时告警及时处置风险。阶段5身份停用与撤销Deprovisioning官方定义生命周期的终点主体业务生命周期结束时立即执行身份停用、权限全量回收、凭证吊销防范孤儿账号带来的安全风险。 官方标准触发场景员工正式离职、退休、辞退外包/第三方人员合作到期、项目结束设备报废、下线、丢失服务/应用下线、合作终止身份长期未使用、违规被封禁 官方强制执行动作必考实时执行离职/合作到期当日必须立即禁用身份禁止延迟操作。全量权限回收回收该身份在所有系统、应用、平台、网络中的全部访问权限包括本地系统、云平台、VPN、远程访问、物理门禁等。凭证与密钥吊销吊销该身份对应的数字证书、API密钥、访问令牌、SSH密钥禁止继续使用。数据处置回收该身份持有的企业数据转移给对应业务负责人按合规要求留存或销毁。审计归档完整记录身份停用的全流程操作留存审计日志归档该身份的全生命周期档案。最终销毁经过留存期后对不再需要的身份执行彻底删除不可恢复。考试高频考点员工离职当日必须立即禁用账号、回收所有权限所有场景题中延迟操作的选项均为错误答案必须全量回收所有系统的权限不能仅回收核心系统权限防止遗漏必须吊销对应的证书、密钥、令牌仅禁用账号无法防范凭证复用的风险孤儿账号的核心成因是未及时执行身份撤销是高频合规考点。阶段6身份归档与退役处置官方要求生命周期的收尾环节对已停用的身份档案、审计日志、操作记录按合规要求进行归档留存到期后执行安全销毁。归档内容必须包含身份全生命周期的所有申请、审批、操作、审计日志不可篡改。归档留存时长必须满足合规法规的最低要求不得提前销毁。到期销毁必须执行安全的不可恢复销毁全程双人复核、审计记录。 四、专项场景身份全生命周期管控第十版重点强化高频考点1. 特权账号全生命周期管理PAM官方核心定位特权账号是企业风险最高的身份必须实施比普通账号更严格的全生命周期管控考试最高频的专项考点。 全生命周期强制管控要求创建阶段必须经过最高级别审批全局唯一禁止共享必须与普通账号分离管理员先用普通账号办公仅在执行高风险操作时使用特权账号。授权阶段严格遵循最小特权原则仅授予必需的管理权限禁止全量超级权限优先使用JIT即时授权仅在需要时临时授予权限使用后立即回收最小化特权暴露面。运维阶段必须通过PAM平台统一保管密码自动定期轮换特权操作必须经过审批全程录屏审计强制启用MFA禁止远程直接使用特权账号。审计阶段至少每季度开展一次特权账号权限评审每月审计特权操作日志实时监控异常特权行为。撤销阶段人员岗位变动/离职时立即回收特权权限禁用特权账号轮换所有相关密码与密钥。2. 服务/应用账号全生命周期管理官方定义用于应用之间、服务之间、系统之间通信的非人员账号是企业最容易被忽略的高风险账号第十版重点强化内容。 强制管控要求创建阶段必须明确归属部门、负责人、业务用途、有效期禁止无归属的服务账号禁止使用服务账号进行人工登录操作。授权阶段严格遵循最小特权原则仅授予完成服务通信必需的最小权限禁止给服务账号分配管理员权限。运维阶段必须定期轮换密码、密钥、证书禁止硬编码到代码、配置文件中必须通过密钥管理系统统一保管禁止明文存储。审计阶段定期评审服务账号的权限与有效期监控异常登录、异常操作禁止服务账号的人工交互式登录。撤销阶段服务/应用下线时立即删除服务账号回收所有权限吊销对应的密钥与证书。3. 第三方/外包/临时人员身份全生命周期管理官方要求第三方人员是企业身份管控的高风险环节必须实施比正式员工更严格的生命周期管控。 强制管控要求创建阶段必须基于正式的合作合同、保密协议经过业务负责人、安全部门的多级审批必须明确身份有效期到期自动禁用仅授予完成工作必需的最小权限禁止访问与工作无关的资源。运维阶段必须定期复核合作有效性权限到期自动回收禁用共享账号强制启用MFA全程监控访问行为异常操作立即告警。审计阶段至少每半年开展一次权限评审验证权限与工作内容的匹配度审计访问日志。撤销阶段合作到期/项目结束当日立即禁用身份全量回收所有权限吊销凭证回收企业数据与设备。4. 设备/物联网/OT身份全生命周期管理第十版重点强化内容物联网、工控、移动设备的数字身份必须实施全生命周期管控是零信任架构的核心基础。 官方核心要求创建阶段设备上线前必须完成身份注册生成唯一的设备身份配置对应的安全基线仅授予完成业务必需的最小网络与系统访问权限。运维阶段定期校验设备身份的真实性监控设备异常行为更新设备证书与密钥修复安全漏洞。审计阶段定期评审设备的在线状态、权限范围清理离线、报废设备的身份。撤销阶段设备报废、下线、丢失时立即吊销设备身份回收所有访问权限加入黑名单禁止再次接入网络。️ 五、核心支撑技术与协议速查技术/协议SCIM跨域身份管理系统官方核心定位身份自动同步的标准化协议。在生命周期中的核心作用实现不同系统、跨云平台之间的身份信息、权限信息自动同步是身份供应/变更/撤销自动化的核心技术。考试高频考点第十版重点强化是实现生命周期自动化管理的核心标准。技术/协议LDAP / LDAPS官方核心定位轻量级目录访问协议。在生命周期中的核心作用企业统一的身份目录服务集中存储身份属性、角色、权限信息是身份管理的核心底层数据库。考试高频考点LDAPS是加密版本明文LDAP必须禁用是企业内网身份管理的核心协议。技术/协议Kerberos官方核心定位企业级单点登录认证协议。在生命周期中的核心作用基于票据机制实现身份认证是企业AD域环境的核心认证协议统一身份认证与生命周期管控。考试高频考点核心是票据机制KDC是核心组件必须实现时钟同步。技术/协议SAML 2.0官方核心定位联邦身份认证协议。在生命周期中的核心作用实现跨企业、跨平台的Web应用单点登录是联合身份供应的核心协议解决跨组织身份生命周期管理。考试高频考点基于XML格式实现身份提供商与服务提供商之间的信任传递。技术/协议OAuth 2.0 / OIDC官方核心定位现代授权与身份认证框架。在生命周期中的核心作用OAuth 2.0是授权框架用于第三方应用的权限委托OIDC是基于OAuth 2.0的身份认证层实现现代应用、移动端、云平台的联合身份管理。考试高频考点核心易错点OAuth 2.0是授权框架不是身份认证协议OIDC才实现身份认证。技术/协议RADIUS / TACACS官方核心定位网络设备接入认证协议。在生命周期中的核心作用实现网络设备、VPN、无线接入的身份认证、授权、审计是设备身份生命周期管理的核心协议。考试高频考点TACACS完全分离认证、授权、审计全报文加密安全性高于RADIUS。技术/协议MFA官方核心定位多因素认证。在生命周期中的核心作用强身份验证技术身份认证环节的核心安全控制防范凭证泄露导致的未授权访问。考试高频考点高风险场景必须强制启用MFA是必考基础考点。❌ 六、官方明确的常见误区纠正考试高频错题点误区1共享账号只要密码足够复杂就是安全的。官方纠正共享账号的核心风险是无法实现审计追责无法确认操作的实际执行人一旦出现安全事件无法溯源同时多人共享会大幅提升凭证泄露风险。官方明确不推荐共享账号高安全场景下完全禁用。误区2员工离职只要禁用AD账号就行不用管其他系统的权限。官方纠正身份撤销必须全量回收该身份在所有系统、应用、平台、VPN、云服务中的全部权限。仅禁用AD账号会导致大量遗留权限与孤儿账号带来严重安全风险。离职当日必须完成全量权限回收与账号禁用。误区3岗位变动时直接给员工叠加新岗位的权限就行不用回收旧权限。官方纠正这种操作会直接导致权限蠕变/权限累积员工最终会获得远超业务需求的过度权限严重违背最小特权原则。岗位变动必须严格执行“先回收旧权限再分配新权限”的原则。误区4用户访问评审UAR每年做一次就行所有账号统一频率。官方纠正普通账号至少每年一次评审但特权账号、高风险岗位账号、第三方账号必须提高评审频率特权账号至少每季度一次临时账号至少每半年一次。不能所有账号统一频率。误区5服务账号可以设置永久不过期的密码避免业务中断。官方纠正永久密码会大幅提升泄露风险。服务账号的密码、密钥必须定期轮换禁止硬编码到代码中必须通过密钥管理系统统一保管。可以通过自动化轮换机制避免业务中断而非设置永久密码。误区6身份管理就是创建账号和删除账号不用全流程管控。官方纠正身份全生命周期管理是从规划、创建、授权、变更、审计到撤销的完整闭环管控而非简单的账号增删。权限变更、持续审计、合规评审是生命周期管理的核心环节缺失会导致权限失控、合规违规。误区7RBAC模型已经过时应该全部替换为ABAC模型。官方纠正RBAC与ABAC没有绝对的优劣只有适用场景不同。RBAC适合标准化的企业内部岗位场景运维简单、标准化程度高ABAC适合复杂的动态、跨组织、云原生场景。二者可以结合使用而非完全替换。 七、跨域关联官方速记域1 安全与风险管理身份全生命周期管理是风险缓解的核心落地措施权限管控是防范内部威胁、数据泄露的核心手段生命周期管理必须符合企业安全治理策略与合规要求最终责任由最高管理层承担。域2 资产安全身份授权的核心依据是资产分级分类高敏感资产必须配套更严格的身份访问控制数据最小化、数据留存要求直接决定身份的权限范围与生命周期。域3 安全架构与工程安全模型、安全设计原则是身份授权模型的底层基础密码学体系是身份认证、凭证管理的核心技术支撑。域4 通信与网络安全身份是零信任网络架构的核心边界网络访问控制、VPN、无线接入都必须基于身份全生命周期管理实现准入管控。域6 安全评估与测试身份权限审计、渗透测试、配置合规检查都是验证身份全生命周期管理有效性的核心手段用于发现权限滥用、违规账号、配置缺陷。域7 安全运营身份异常行为监控、告警响应、事件处置、日志审计都是安全运营的核心日常工作特权账号管理、漏洞修复是运营环节的核心内容。域8 软件开发安全服务账号、API身份管理、应用权限控制是DevSecOps的核心组成部分身份安全必须内置到软件开发生命周期中。 身份全生命周期管理的本质是让身份的权限与业务生命周期完全同频从生到死全程可控、可审计、可追溯严格遵循最小特权原则从源头杜绝未授权访问的风险。在零信任架构体系中身份已经取代传统的网络边界成为企业安全的核心基石而全生命周期管理就是这块基石的核心骨架。持续更新 CISSP 8大知识域考点解析关注 老张的张 带你用人话掌握信息安全核心知识。