目前接触了统一认证系统,从AD迁移到了IAM,所以把基本概念记下,帮助理解
1. Active Directory(AD)认证概述
什么是Active Directory？
Active Directory(AD)是微软开发的目录服务，基于LDAP（轻量级目录访问协议）标准，主要用于Windows环境中的网络资源管理和身份验证。它作为一个中央化的身份存储库，存储了网络中所有用户、计算机和资源的信息。
AD统一认证的工作原理
- 集中式身份管理：
- 所有用户账号和凭据集中存储在AD中
- 通过域控制器处理身份验证请求
- 单点登录(SSO)实现：
- 用户登录Windows域后获得Kerberos票据
- 用户可使用相同凭据访问网络中多个系统
- 无需为每个应用程序重复输入凭据
- 基本认证流程：
- 用户输入用户名和密码
- 凭据发送至AD域控制器进行验证
- 验证通过后，用户获得访问权限
AD认证的优势
- 与Windows环境深度集成
- 成熟稳定的技术，广泛应用于企业环境
- 提供基本的单点登录体验
- 支持组策略管理
2. IAM(身份与访问管理)系统概述
什么是IAM？
IAM(身份与访问管理)是一个框架和技术集合。它是一套全面的解决方案，不仅处理身份验证，还管理授权和用户生命周期。
IAM的核心组件
- 身份管理：
- 用户账户创建、修改和删除
- 用户属性和配置文件管理
- 身份生命周期管理
- 认证服务：
- 多种认证方式(密码、短信验证码、生物识别等)
- 多因素认证(MFA)
- 社会化登录集成
- 授权管理：
- 基于角色的访问控制(RBAC)
- 基于属性的访问控制(ABAC)
- 细粒度权限管理
- 单点登录(SSO)：
- 跨应用程序和平台的无缝身份验证
- 支持多种SSO协议(SAML、OAuth 2.0、OpenID Connect)
- 审计与合规：
- 用户活动监控
- 访问日志记录
- 合规性报告生成
IAM的工作原理
IAM系统通过以下流程实现身份验证和授权管理：
- 统一认证流程：
- 用户通过统一登录门户访问多个应用
- IAM系统验证用户身份
- 成功验证后，IAM生成令牌或票据
- 统一授权流程：
- IAM根据预定义的策略确定用户权限
- 应用程序从IAM获取用户权限信息
- 根据权限向用户显示相应的功能和数据
- 多租户管理：
- 支持企业内多个子公司或部门的数据隔离
- 每个租户可以有独立的配置和策略
IAM系统的技术标准
IAM遵循多种行业标准和协议，确保系统的互操作性和安全性：
- OAuth 2.0：授权框架，允许第三方应用访问受限资源
- OpenID Connect：基于OAuth 2.0的身份验证层
- SAML：安全断言标记语言，用于跨域SSO
- JWT：JSON Web Token，用于安全传输信息
- LDAP：轻量级目录访问协议，用于存储用户和组织信息
3. AD与IAM认证对比
基本概念对比
| 特性 | Active Directory (AD) | 身份与访问管理 (IAM) |
|---|---|---|
| 定义 | 微软开发的目录服务，主要用于Windows环境 | 更广泛的身份验证与授权管理框架，适用于各种环境 |
| 主要功能 | 用户身份验证、资源访问控制 | 身份验证、授权、用户管理、多因素认证、审计等综合功能 |
| 适用范围 | 主要用于Windows环境和内部网络 | 适用于云环境、混合环境和多平台应用 |
| 协议支持 | 主要基于LDAP和Kerberos | 支持多种协议：OAuth 2.0、OpenID Connect、SAML、JWT等 |
功能对比
| 功能 | Active Directory (AD) | 身份与访问管理 (IAM) |
|---|---|---|
| 身份验证 | 基本的用户名/密码验证 | 支持多种认证方式：密码、短信验证码、社会化登录等 |
| 单点登录 | 主要通过Kerberos协议实现 | 通过多种协议（SAML、OAuth等）提供更灵活的SSO选项 |
| 多因素认证 | 需要额外组件支持 | 内置支持多因素认证(MFA) |
| 权限管理 | 基本的用户组和访问控制列表 | 精细的基于角色的访问控制，支持动态权限调整 |
| 应用集成 | 主要支持Windows应用和LDAP兼容应用 | 支持多种应用类型，提供SDK和API便于集成 |
| 自动化能力 | 有限的自动化能力 | 支持事件触发的自动授权和权限回收 |
| 风险管理 | 基本安全功能 | 基于风险评估的动态权限调整 |
扩展性和现代性对比
| 方面 | Active Directory (AD) | 身份与访问管理 (IAM) |
|---|---|---|
| 云支持 | 通过Azure AD等扩展实现 | 原生支持云环境和混合环境 |
| 可扩展性 | 有限，主要在Windows生态系统内 | 高度可扩展，支持多种环境和平台 |
| 第三方集成 | 有限的第三方集成能力 | 广泛支持第三方应用和服务集成 |
| 标准合规 | 较少关注新兴标准 | 遵循现代安全标准和最佳实践 |
| 租户管理 | 有限的多租户支持 | 全面的多租户管理能力 |
4. IAM的主要优势
安全性增强
- 多层次身份验证：除了基本密码外，还可以添加短信、生物识别等多种验证方式
- 自适应身份验证：根据用户行为、位置和设备动态调整验证要求
- 细粒度权限控制：根据用户角色、部门、时间等多种因素精确控制资源访问
用户体验提升
- 无缝登录体验：用户只需登录一次，即可访问多个应用系统
- 自助服务功能：用户可自行重置密码、更新信息，减少IT部门工作量
- 一致的界面：提供统一的应用访问门户，简化用户操作
运营效率优化
- 集中管理：通过单一控制台管理所有用户和应用
- 自动化流程：用户入职、离职等生命周期事件可触发自动权限分配或回收
- 减少重复建设：新应用可直接接入IAM系统，无需重新开发认证授权模块
合规与治理
- 全面审计能力：记录所有访问活动，支持合规审计
- 风险监控：识别异常访问模式，及时发现潜在安全威胁
- 策略执行：确保访问策略的一致实施，减少人为错误
5. 为什么从AD迁移到IAM？
业务需求变化
- 企业应用环境日益复杂，不再局限于Windows生态系统
- 需要支持云应用、移动应用和第三方服务
- 员工、合作伙伴和客户需要从任何地点、任何设备安全访问资源
IAM带来的价值
- 增强的安全性：
- 多因素认证提高账户安全性
- 基于风险的动态访问控制
- 详细的审计和合规报告
- 改善的用户体验：
- 真正的单点登录体验，跨平台、跨应用
- 自助服务功能，如密码重置
- 一致的登录体验
- 运营效率提升：
- 自动化的用户生命周期管理
- 减少重复建设认证系统的成本
- 简化合规性管理
6. 结论
从AD迁移到IAM代表着企业身份认证与授权管理的现代化升级。虽然AD在Windows环境中仍然有其价值，但IAM提供了更全面、灵活和安全的身份管理解决方案，能够更好地满足当今企业面临的复杂身份管理需求。