اگر یک مهاجم اعتبارنامه‌های معتبر سامانه شما را در اختیار داشته باشد، تمام دیوارهای آتش شبکه و اصلاحیه‌های نرم‌افزاری دنیا هم نمی‌توانند مانع ورود او شوند. مرزهای سنتی امنیت از بین رفته‌اند و مدیریت هویت به عنوان آخرین سنگر محافظت از معماری‌های نرم‌افزاری مدرن شناخته می‌شود. امنیت فناوری اطلاعات سنتی بر اساس مدل قلعه و خندق عمل می‌کرد و فرض را بر این می‌گذاشت که هر فردی درون شبکه شرکت قابل اعتماد است. محیط‌های ابری مدرن این فرض را کاملاً نابود می‌کنند و برای هر تعامل واحد، صرف‌نظر از مبدأ شبکه، تأیید هویت را الزامی می‌دانند. بدون کنترل‌های هویت مستحکم، یک گذرواژه به سرقت رفته می‌تواند کل زیرساخت شما را در معرض خطر قرار دهد. پایه‌وغساس این مدل امنیتی بر جداسازی احراز هویت (اثبات اینکه چه کسی هستید) از مجوزدهی (تعیین کارهایی که اجازه انجامشان را دارید) استوار است. احراز هویت، موجودیت درخواست‌کننده را راستی‌آزمایی می‌کند، در حالی که مجوزدهی با تضمین اینکه هویت‌ها فقط کارهای مجاز را انجام می‌دهند، اصل حداقل دسترسی را پیاده‌سازی می‌کند. هنگام انتقال از مراکز داده ایستا به محیط‌های ابری پویا، چرخه عمر هویت و دسترسی شما باید از طریق مراحل سیستماتیک تطبیق یابد. یک درخواست از طرف یک کاربر یا بار کاری شروع می‌شود، از مرحله تأیید رسمی عبور می‌کند و در نهایت اقداماتی را برای ایجاد، حذف، اعطا یا لغو پویای دسترسی‌ها فعال می‌سازد. مدیریت این هویت‌ها نیازمند درک موارد استفاده متمایز است. الگوهای کسب‌وکار به مصرف‌کننده و کسب‌وکار به کارمند از نظر مقیاس، تحمل امنیتی و انتظارات اصطکاک به‌شدت با یکدیگر تفاوت دارند. کارمندان نیازمند نظارت دقیق شرکتی هستند، در حالی که مصرف‌کنندگان خواهان ثبت‌نام بدون اصطکاک بدون به خطر انداختن یکپارچگی داده‌ها هستند. در این میان، تکیه صرف به گذرواژه‌ها، عبارت‌های عبور و کلیدهای رابط برنامه‌نویسی به‌طور خطرناکی منسوخ شده است. گذرواژه‌ها افشا می‌شوند، کلیدهای لورفته از مخازن عمومی استخراج می‌شوند و حافظه انسانی ضعیف‌ترین حلقه در هر زنجیره امنیتی باقی می‌ماند. برای کاهش این خطرات، احراز هویت چندمرحله‌ای لایه‌های تأیید تکمیلی مانند توکن‌های سخت‌افزاری یا برنامه‌های تأیید هویت را معرفی می‌کند تا اطمینان حاصل شود که گذرواژه‌های سرقت‌شده به‌تنهایی نمی‌توانند دسترسی کامل به سامانه را اعطا کنند. با مقیاس‌پذیری سامانه‌ها، مدیریت اعتبارنامه‌های جداگانه برای هر سرویس غیرقابل تحمل می‌شود. هویت فدرال و ورود تک‌مرحله‌ای با اجازه دادن به کاربران برای احراز هویت یک‌باره با یک ارائه‌دهنده هویت مورد اعتماد، این اصطکاک را برطرف می‌کنند و دسترسی یکپارچه در سراسر برنامه‌های کاربردی مختلف را بدون نیاز به ورود مجدد اعتبارنامه‌ها فراهم می‌سازند. در مقابل، شناسه‌های اشتراکی شکاف‌های جدی در پاسخگویی ایجاد می‌کنند و به چندین کاربر اجازه می‌دهند از یک مجموعه اعتبارنامه مشترک استفاده کنند، که باعث می‌شود مسیرهای حسابرسی هنگام بروز حوادث امنیتی کاملاً بی‌فایده شوند. برای بارهای کاری خودکار و سرویس‌های ابری، هویت‌های مدیریت هویت ابری، متادیتای نمونه و اسناد هویت، و روش‌های مستحکم مدیریت رازها تضمین می‌کنند که ماشین‌های مجازی و کانتینرها به‌طور ایمن هویت خود را به ارائه‌دهندگان ابر اثبات کنند بدون اینکه اعتبارنامه‌های حساس را در کد منبع برنامه سخت‌کد کنند. اجرای مؤثر قوانین دسترسی مستلزم انتقال از بررسی‌های تکه‌تکه به مجوزدهی متمرکز است، جایی که نقش‌ها مجموعه‌های گسترده‌ای از مجوزها را تعریف می‌کنند که مستقیماً به توابع شغلی یا مسئولیت‌های بار کاری نگاشت می‌شوند. از آنجا که مجوزها در طول زمان دچار انحراف می‌شوند، سامانه‌ها باید به‌طور دوره‌ای اعطای دسترسی‌های فعال را اعتباریسنجی مجدد کنند تا از خزش امتیازات جلوگیری شود. در نهایت، گردآوری همه چیز در برنامه نمونه نشان می‌دهد که چگونه کاربران نهایی از طریق ورود تک‌مرحله‌ای احراز هویت می‌شوند، از مرزهای مجوزدهی عبور می‌کنند و بدون افشای آسیب‌پذیری‌های زیرساخت زیرین، با سرویس‌های پس‌زمینه تعامل ایمن برقرار می‌کنند. امنیت یک محصول ایستا که آن را خریداری کنید نیست، بلکه یک فرآیند مستمر از راستی‌آزمایی، سازگاری و کاهش انضباطی امتیازات است. | رویکرد | مزیت اصلی | خطر اصلی | مناسب‌ترین برای | | :--- | :--- | :--- | :--- | | گذرواژه‌های ایستا | پیاده‌سازی ساده | نرخ سازش بالا | ابزارهای داخلی کم‌ارزش | | احراز هویت چندمرحله‌ای | امنیت به‌طور قابل‌توجهی بالاتر | اصطکاک جزئی کاربر | تمام سامانه‌های کاربرمحور | | هویت فدرال | کنترل متمرکز، ورود تک‌مرحله‌ای | نقطه شکست منفرد | اکوسیستم‌های سازگاهی و نرم‌افزار به عنوان سرویس | [ ] طراحی یک خط لوله احراز هویت که احراز هویت را از مجوزدهی جدا کند [ ] پیاده‌سازی احراز هویت چندمرحله‌ای برای تمام حساب‌های کاربری دارای امتیاز [ ] ایجاد یک چرخه کارآمد مدیریت رازها برای جلوگیری از کلیدهای رابط برنامه‌نویسی سخت‌کد شده [ ] پیکربندی سرویس‌های متادیتای نمونه ابری برای مسدود کردن دسترسی غیرمجاز کانتینرها [ ] تعریف سیاست‌های کنترل دسترسی مبتنی بر نقش برای اعمال اصل حداقل دسترسی [ ] راه‌اندازی رویه‌های اعتباریسنجی مجدد و لغو خودکار دسترسی برای هویت‌های منسوخ