IAM：身份验证与授权

身份验证和授权可能听起来相似，但在核心功能方面它们是不同的。身份验证和授权是在用户尝试访问其资源时执行的安全过程。身份验证和授权在防止网络安全漏洞和加强组织的安全系统方面发挥着至关重要的作用。

• 验证：验证用户的身份 - 用户是谁？
• 授权：检查用户是否有权访问资源 - 用户可以访问哪些资源？

什么是身份验证

身份验证是验证需要访问应用程序、系统和网络等资源的用户身份的过程。仅当用户在输入凭据或其他身份验证模式（如生物识别）后成功进行身份验证时，才允许访问这些资源。

什么是授权

授权是验证用户以检查用户是否具有访问特定系统、应用程序或网络的权限的过程。授权与访问和用户权限的控制相关联。用户的年龄、角色和其他元数据等因素在授权过程中起着重要作用。

要访问资源，首先对用户进行身份验证，然后进行授权。

不同的身份验证方法

• 密码验证
• 生物信息验证
• 基于令牌的身份验证
• 多重身份验证 （MFA）

密码验证

这是一个身份验证过程，其中密码是字母、数字和特殊字符的组合。简单的密码由用户创建，以便他们可以轻松记住它们，但这会使他们的帐户容易受到黑客的攻击。黑客通过不断尝试字母、数字和特殊字符的不同组合来访问用户帐户。建议对密码使用不同字符、字母和数字的长（超过 10 个字符）组合。

生物信息验证

这是一个身份验证过程，涉及利用用户的生物信息进行身份验证。与密码相比，生物识别技术使用方便且速度更快。经常使用的一些生物识别技术如下：

生物	身份验证因素
指纹识别	身份验证基于用户的唯一指纹模式
面部识别	身份验证基于用户的独特面部特征
视网膜/虹膜扫描	身份验证基于一个人虹膜的独特模式

基于令牌的身份验证

身份验证基于唯一的加密字符串。基于令牌的身份验证应用程序向用户的智能手机或电子邮件发送加密文本;用户必须输入此加密文本才能访问其资源。

多重身份验证 （MFA）

多重身份验证涉及两种或多种身份验证方法。例如，登录时需要用户的指纹和发送到用户智能手机的一次性密码 （OTP）。

提示：使用AD360可以无缝管理密码并防止恶意登录和密码攻击等安全威胁，提供广泛的身份验证因素，包括指纹和面容ID身份验证、YubiKey、谷歌身份验证器、推送通知和短信验证。

不同类型的授权

• ABAC 授权
• RBAC 授权

ABAC 授权

基于属性的访问控制 （ABAC） 授权与特定用户属性相关。年龄、人口统计和关系等信息是用户的某些属性。当用户尝试访问资源时，将执行 ABAC 授权;它需要一个特定的属性来向用户授予权限。

例如：投票系统仅在用户的年龄为 18 岁或以上时才授权投票权限。

RBAC 授权

基于角色的访问控制 （RBAC） 授权与用户的角色相关，而不是与用户直接相关。在组织中，不同的用户具有不同的角色。在此授权方法中，仅当用户的角色具有访问资源的权限时，才会授予使用资源的权限。

例如：仅当用户帐户具有 HR 角色时，才能加入或离职员工。

身份验证和授权的比较

身份验证	身份授权
身份验证验证用户的身份	授权检查用户是否具有访问资源的权限
身份验证在授权之前处理	身份验证后处理授权
对用户可见	对用户不可见
用于身份验证的数据作为 ID 令牌移动	授权数据作为访问令牌移动
身份验证过程由用户凭据、生物识别、OTP 或其他应用程序管理	授权过程由 IT 管理员或 IT 安全人员管理
登录凭据等身份验证过程可由用户部分更改	用户无法更改授权设置，它们只能由 IT 管理员或 IT 安全团队更改

通过身份验证和授权增强安全性

技术每天都在进步，许多组织也在快速适应，IT 管理员需要确保其组织的安全系统已更新，身份验证和授权程序是任何安全系统的关键组成部分，在处理组织的敏感数据资产时，身份验证和授权都是必不可少的。忽略这些流程中的任何一个都会使组织容易受到数据泄露和非法访问的影响。

组织正在逐渐远离密码，转向身份验证应用程序和生物识别技术，以提供更好的用户体验和更好的安全性，可以相应地实施各种类型的身份验证和授权方法，以加强组织的安全系统。

AD360 身份和访问管理 （IAM） 解决方案，用于管理用户身份、管理对资源的访问、实施安全性并确保合规性。