ITL-05 咨询服务
身份与访问（IAM）
身份是新的边界：大多数现代入侵都始于一个管理不善的凭据或权限——无论是人还是机器，无论在数据中心、云端还是 SaaS。
问题所在
典型的企业环境多年来层层叠加了身份：工作站用的本地目录、各个 SaaS 中孤立的账户、由另一团队管理的云身份、共享的特权账户，以及一个依赖某人记得撤销权限的离职流程。每一层都是一把不同的锁——而审计或事件，总会找到那把没锁上的。
我们的做法
身份治理（IGA）
建立治理项目：对本地系统、云与 SaaS 中的身份与访问权限进行清点；定义角色与权限画像（基于角色与属性的模型）；明确各系统的访问责任人；并开展周期性的访问认证与复核。
访问生命周期
对入职—调动—离职流程进行设计与自动化：以权威的人力资源数据源驱动自动开通与回收，离职时即时撤销、岗位变动时调整画像——这正是大多数孤儿权限的来源。
认证与联合
将认证收敛至中央身份提供方，采用基于开放联合标准的单点登录（SSO）、抗钓鱼的多因素认证，以及对上下文与风险敏感的条件访问策略——覆盖企业、云与遗留应用。
特权访问（PAM）
特权访问管理策略：发现特权账户、凭据保险库、临时与按需（即时）提权、管理会话录制，以及消除常驻特权。
机器身份与密钥
治理非人类身份——服务账户、API 密钥、证书与系统间集成——明确责任人、生命周期、密钥轮换与最小权限，消除长期不变的静态凭据。
实战经验
在大型金融机构与跨国运营中设计并评审过身份项目与架构，覆盖企业联合、云端机器对机器访问，以及异构环境下的认证统一。
常见问题
IAM 项目应从何处入手？
从生命周期与特权入手：确保离职当天即撤销访问、特权账户已被清点并加以保护，能以最小投入消除大部分风险。精细的角色目录与季度认证是后续之事——从它们入手，正是 IAM 项目永远停留在图纸上的经典原因。
为何机器身份值得特别关注？
因为它们比人类身份增长得更快，却很少有责任人、生命周期或复核。一把三年前为测试创建的静态集成密钥，今天可能就是通往您数据的最短路径——我们开展的云评估反复证实了这一点。
你们是否落地某个特定的 IAM 平台？
咨询以架构与流程为导向，而非以某个厂商为导向。我们会结合您的环境与预算评估身份治理、联合与特权管理平台——包括更充分地利用您已购买的许可——并陪同所选方案的落地。
需要就身份与访问（IAM）进行一次沟通吗？
用两句话描述您的情况。我们会给出诚实的判断——哪怕结论是您并不需要我们。