安全分析：自助式身份管理缺陷和应对措施

非授权访问

当用户维护他或她自己的身份信息时自助服务可能会对一个企业有害，如果操作不当，自助服务的访问控制将是灾难性的。在一个IAM架构中，自助服务处理一个用户访问一台服务设备的请求通常是通过自助服务门户网站的形式。用户确定他或她使用的是一套已知规范或凭据，然后才揭开工作流程的序幕，以创建适当的访问设置。工作流程如果不经过深思熟虑就会出现问题。许多机构已采取现有的手动方式和自动化方式处理这些问题。虽然这可能适用于有旧系统的大多数情况，手动工作流程可以确定访问是否恰当。然而，如果这些过程是自动的，人的逻辑思维决定往往不能结转到自助服务的应用程序。

例如，一位客户正在忙于离婚，他或她的离婚配偶希望看看他们的人寿保险中有多少钱，这是诉讼的谈判点。配偶有客户的社保号码、出生日期和其他的一些敏感信息，就可以到保险公司的门户网站用他或她的客户信息填写一份登记表要求获得该客户的帐户。由于信息是正确的（逻辑上不会检查是否已经存在该帐户），门户网站就允许配偶访问。而在该公司使用自助服务模式之前，其配偶就需要联系其服务代表来获得访问许可，这样就更加容易辨别其配偶是否在该帐户的列表上。该服务代表会对其配偶有质疑，或干脆完全拒绝访问要求。

如果对所有必要的授权访问决策没有一个彻底的了解，就有可能造成失误，特别是面对庞大的用户群体或复杂的商业结构时。由于正常的行政监督不会发生在自助服务请求发起初始，所以制约性的“检查”将会缺失。

使自助服务变得安全

实施IAM自助服务的风险是巨大的。那么有什么方法可以用来减轻风险，从而达到我们可以接受的限度呢？以下是一些建议：

1. 了解什么是自助服务：只因为一些事情可以自助服务并不意味着自助服务就可以实施。IAM的专业人员需要考虑当最终用户成为这一过程的所有者时他们的流程和程序会发生什么。
2. 让培训成为你计划的一部分：人们会犯错。你们了解完整、准确和及时的信息并不意味着你的用户也了解。不应只在那些会影响你业务的领域培训他们，也要确保让他们知道并接受他们是有责任维护好数据的。
3. 检查和平衡过程与程序：你不能始终确保一个访问请求或自助服务数据管理被正确处理。自助服务不等于自我管理。虽然IAM的操作方面可能会下放给最终用户，但对这些系统的管理仍必须保持下去。
4. 你已经实现了自助服务但并不意味着你就降低了成本：在许多情况下，自助服务并不意味着成本的减少。随着管理和监控这些服务开销，成本短期内将是上升的。所以，直到你看到实际成本之前不要重新分配管理预算。好消息：尽管自助式服务并不一定降低成本，但它可以减少未来的开支。人们普遍认为，由于其以少数的工作人员来管理庞大用户群的能力，自我服务IAM的部署费用往往会随着时间的推移由成本规避填平。
5. 谨慎转型：从传统的IAM服务走向自助服务模式，需要注意它是如何影响整个架构的。额外的非计划控制和培训需要遵照数据质量侵蚀的识别或者拒绝访问。

自助服务对于IAM的基础设施既是巨大的援助也是巨大的障碍。随着减少员工工作量和充分授权业务的承诺，自我服务对机构将充满吸引力。但是，正如人们说的，能力愈大责任愈重。要确保那些被授予这一责任的人能明智地使用它。

自助式身份管理风险：IAM数据质量

未经允许不得转载：DOIT » 安全分析：自助式身份管理缺陷和应对措施