身份与访问管理

身份与访问管理 (IAM) 是对企业中身份和访问权限进行集中管理。身份验证和授权是其中的关键组成部分，用于管理身份，并控制对相关解决方案、系统、应用程序和资源的访问权限。听起来可能有些复杂，但我们可以通过一个实际示例来轻松说明：

现在是上午 7:15。今天对 Alex 来说很特别，因为他正前往 MyUnifiedIT 公司，开始担任客户经理的新工作。Alex 的工位已准备就绪，配备了显示器、带扩展坞的笔记本电脑和电话。他的新经理 Brianne 手里拿着装有初始密码的信封。对这位新员工而言，一切似乎都已安排妥当。Alex 很早就到达了公司，干劲十足，也很期待新工作的开始。Brianne 迎接了他，带他熟悉环境，并将他介绍给同事。随后，她把装有初始密码的信封交给他。他打开笔记本电脑。注册后，系统弹出一个窗口，要求他阅读数据保护规定，并在理解后确认接受。此时，他获得了所有应用程序的访问权限，包括那些包含个人数据、并且很可能对其工作最为重要的应用。Alex 完成这些操作后不久，应用程序图标便出现在屏幕上。他首先启动 Outlook。一切都已配置完成，第一个会议提醒的弹出窗口也随即显示。

Alex 已顺利进入新岗位，并且在第一次午休之前很久就可以开始工作。Brianne 也很满意。她的新员工在入职第一天就已完全就绪并具备生产力。她回想起过去的困难：新员工往往需要数天甚至数周才能访问所需的全部资源，而且也无法确定新员工的信息是否已经传递到相关环节。

什么是身份与访问管理？

“入职”流程，即接纳新员工的过程，正如 Alex 和 Brianne 这个虚构示例所展示的那样，每个月都会在全球各地的企业中发生数千次。如果该流程能够像示例中那样顺畅运行，便离不开组织完善的身份与访问管理解决方案。借助身份与访问管理，企业可以确保用户以安全且合规的方式保持高效工作，即在正确的时间、出于正确的原因，让正确的人员访问正确的资源。

使用身份治理与管理

身份与访问管理的概念非常广泛，涵盖多个方面，包括：

• 单点登录
• 特权访问管理 (PAM)
• 多重身份验证 (MFA)
• 云访问安全代理 (CASB)
• 特权信息管理
• 身份治理与管理

身份治理与管理 (IGA) 负责管理用户账户的生命周期，涵盖从配置开通到移除的全过程，同时还包括授权管理、工作流程编排、访问认证等。其目标是确保组织始终能够安全地运营，并遵循自身准则实现合规。

IGA 解决方案可跨多个系统管理数字身份和访问权限。为此，它们会汇总并关联分布在整个 IT 环境中的各类身份和访问权限数据，从而提升对用户访问的控制能力。

如今，员工更换岗位的频率大大提高。员工队伍中也常常包含更高比例的临时工、承包商、顾问和实习生。因此，员工访问权限和用户账户的管理变得更加复杂。以下是几个示例：

• 新员工：作为主管，您很可能希望新员工（承包商、顾问或实习生）从入职第一天起就能高效工作。为此，他们通常需要根据其在公司及团队中的角色和职能，访问各种 IT 资源（程序、服务、驱动器等）。您可以了解借助 Ivanti，安全且高效的入职第一天会是什么样。
• 调岗：另一种常见情况是，用户已在公司工作很长时间，现在需要变更职责和角色。他们可能需要访问公司内部或云端的其他资源和应用程序、其他共享驱动器等。同时，必须撤销对不再需要的资源的访问权限。这有助于企业保持安全与合规。
• 离职：如果用户离开公司，立即撤销其对公司资源及其用户账户的访问权限至关重要。这同样适用于可通过互联网从任何设备访问的云应用程序和服务。如果访问权限未被撤销，前员工仍可能查看公司数据。例如，这可能违反《欧盟通用数据保护条例》(GDPR)，也可能直接给企业造成经济损失。

全面掌控身份治理与管理

Ivanti Identity Director 是一款 IGA 解决方案，可帮助企业针对公司资源有效实施基于角色和属性的访问控制（基于角色的访问控制 - RBAC，以及基于属性的访问控制 - ABAC）。这还包括安全的入职和离职流程。

此外，用户还可以通过自助服务申请额外的 IT 服务和授权。Identity Director 还可与第三方应用程序集成，无论这些应用部署在本地还是云端，都能确保对这些资源进行顺畅的访问管理，从而保护现有投资。

回到开头的简短故事。所需的员工信息会从企业的人力资源系统中读取或查询，然后在 Identity Director 中进一步处理。与员工相关的每一项变更都会被识别并相应激活（即授予或撤销权限）。如果涉及已连接的系统，相关操作会在这些系统中自动执行。最终，每位员工都能在正确的时间、出于正确的原因访问正确的资源，并完全符合企业和监管准则的合规要求，且可经受审计。