IAM：零信任架构的魂与骨 #
近年来，随着网络安全形势的日趋严峻及云计算、大数据以及物联网等技术的迅猛发展，以边界为中心的传统安全架构愈来愈力不从心，而以身份为中心的零信任架构应势崛起，成为企业构建网络安全体系的必然选择。
当今企业网络面临的威胁已非昔日可比，主要威胁不再是使用简陋工具的零星黑客，而是装备精良的商业化犯罪组织。盗窃高价值数字资产是一种获益丰厚的地下产业，面对利益，攻击者无所不用其极，曾经昂贵高端的APT已是攻击者手中的常规武器。
在这种持续的高水平攻击下，网络边界被攻破只是时间问题。传统安全架构只注重边界防御，默认内部可信任，对已成功侵入的攻击者手段有限。侵入内网的攻击者往往如入无人之境，肆意横向移动，窃取更高权限，图谋企业的数字资源。
如果说对于网络攻击，传统安全架构尚有招架之力，那么随着企业开始把数据、应用、服务大规模部署到云端，远程办公的普及，以及跨企业协同的出现，使得内外网之间的边界消失，传统安全架构身陷无边可守，无界可防的尴尬境地。
高墙倾，深壕平，传统安全架构无处安放之日，正是零信任安全架构崭露头角之时。
零信任安全架构并不试图御敌于国门之外，而是守护在资源身边。如果说传统安全架构是边防军，那么零信任架构就是贴身特勤，本着“从不信任，总是验证”的原则，每一次访问请求，每一个提出请求的访问者，都会受到这位特勤的严格验证，只有身份合法、权限完备的请求才会被通过，否则一律拒绝。
在网络世界里，信任不是美德，而是风险。零信任架构并不在乎访问者是谁，在网络的哪个位置，无论任何人、设备、应用，无论身处内网还是外网，统统不予信任，只有拥有合法身份的访问者，才会被赋予有限的信任，授予刚好够用的权限（最小化授权原则），并且其行为受到持续监控，如有异常行为，权限即被剥夺。
可见，“身份”，是零信任安全架构的核心概念，授权、认证都围绕身份展开。正如《零信任网络》的作者EvanGilman指出的，零信任安全的本质是以身份为中心进行动态访问控制。
定义 #
身份是物理世界的人、物、系统等实体在数字世界的唯一标识，是物理世界的实体在数字世界的对等物。
需要注意，身份并非账号。身份是唯一的，而账号并不唯一。一个身份可以在不同业务系统中拥有不同账号，每一个账号都关联唯一的身份。
这说明零信任架构需要在现代身份管理框架下构建。
现代身份管理正是IAM系统的工作。
IAM（IdentityAccess Management，身份与访问管理）是一套全面建立和维护数字身份，并提供有效、安全的IT资源访问的业务流程和管理手段。它提供集中式的数字身份管理、认证、授权、审计模式和平台，可以让合适的用户，在恰当的时间，通过统一的方式访问被授权的信息资产。
一个现代化IAM平台，由身份管理、认证管理、访问管理、审计管理四大模块构成，同时提供标准化接口为外部IT资源提供安全服务输出，并且具有快速融合底层基础安全设施整合服务能力。
这说明零信任架构需要在现代身份管理框架下构建。
现代身份管理正是IAM系统的工作。
IAM（IdentityAccess Management，身份与访问管理）是一套全面建立和维护数字身份，并提供有效、安全的IT资源访问的业务流程和管理手段。它提供集中式的数字身份管理、认证、授权、审计模式和平台，可以让合适的用户，在恰当的时间，通过统一的方式访问被授权的信息资产。
一个现代化IAM平台，由身份管理、认证管理、访问管理、审计管理四大模块构成，同时提供标准化接口为外部IT资源提供安全服务输出，并且具有快速融合底层基础安全设施整合服务能力。
现代化IAM平台
IAM为零信任网络提供身份、设备、网络资源的属性及策略管理，为用户访问零信任网络提供身份会话管理及精确的最小化授权。
总之，IAM为零信任架构注入了魂魄，构建了骨骼，使其从一种理念落地为活生生的现实。
建设零信任安全体系是一项艰巨的系统工程，以Google之强，部署自研的BeyondCorp尚耗费六年之久，对于大多数企业，选择市场上成熟的产品才是现实的做法。