身份识别与访问控制IAM实施：账号管住了，风险少一半

摘要：泄露和入侵事件里，被盗用的合法账号是常客。IAM实施有套路：身份源统一、生命周期闭环、权限收敛、特权单管。

复盘数据泄露和入侵事件，攻击者手里的"合法账号"出现频率很高——不是密码被钓走，就是离职员工的账号没人回收，再或者某个服务账号权限大得离谱。身份识别与访问控制IAM实施的价值就在这里：把"人—账号—权限"这条链管清楚，多数横向移动和越权访问就失去了入口。账号治理，是很多安全建设的地基。

IAM实施有四个要点，顺序别乱。

要点一：身份源统一。员工、外包、合作伙伴的账号都以权威数据源为准（通常是HR系统和供应商台账），避免各部门自建账号体系。身份源不统一，后面所有自动化都会出错。

要点二：生命周期闭环。入职自动开户、转岗权限随岗调整、离职当日回收账号——三个环节都要自动化并留痕。孤儿账号（人在账号已在、人走账号还在）是审计里的常见不符合项，更是攻击者喜欢的暗门。

要点三：权限模型收敛。以基于角色的访问控制（RBAC）起步，先梳理岗位与权限的映射，把明显越界的权限收回来；再逐步引入按需申请与定期复核机制，让权限"给得出去、收得回来"。

要点四：多因素认证与特权账号单管。全员MFA是性价比很高的投入；特权账号（管理员、数据库、服务账号）要单独纳入特权访问管理，做到审批使用、会话留痕、密码定期轮换。

常见实施误区也要提：一期铺得太大规模、业务部门配合不足、只买平台不做治理。IAM是一半技术一半管理的工程。安言咨询提供身份安全与访问控制咨询服务，从身份源梳理到特权管理落地，协助企业把账号这条风险主线管住。

数字安全 关注安言