Security-101 IAM 能力指南目录服务与 8 大身份保护控制MFA/SSO/RBAC/自适应/PAM/IGA/行为分析【免费下载链接】Security-1018 Lessons, Kick-start Your Cybersecurity Learning.项目地址: https://gitcode.com/GitHub_Trending/se/Security-101本文基于 Security-101Cybersecurity for Beginners课程第 2 模块第 2.3 课《IAM Capabilities》课程内对应文档为 2.3 IAM capabilities.md其意大利语译文即本文的主源文档 translations/it/2.3 IAM capabilities.md展开。文章先讲清“目录服务Directory Service”这一身份基础设施的定义、典型代表与 7 项核心职能再逐一剖析 MFA、SSO、RBAC、自适应认证、生物特征认证、PAM、IGA 与行为分析这 8 项身份安全能力并将它们映射回课程中零信任与最小权限原则1.5 Zero trust.md、2.1 IAM key concepts.md。读完后你将能够独立判断一个组织需要哪些身份控制组合并理解每一项控制背后的设计原理。一、课程定位IAM 能力在 Security-101 中的位置Security-101 是一门厂商中立vendor agnostic的入门级网络安全课程按模块组织每课约 30–60 分钟。从 README.md 的课程总览表可以看到第 2 模块“Identity access management fundamentals”由四课构成2.3 课在其中的定位是“学习用于保护身份的 IAM 能力与控制”课次文件关注点2.12.1 IAM key concepts.mdIAM 定义、最小权限、职责分离、认证与授权的区别2.22.2 IAM zero trust architecture.md为什么“身份即边界”与传统架构的差异对比2.32.3 IAM capabilities.md本文主题目录服务 8 项身份保护能力2.42.4 End of module quiz.md模块结业测验入口本文所依据的意大利语文档头部带有CO_OP_TRANSLATOR_METADATA注释块标注了原文 hash、翻译时间与源文件名这是课程自动翻译流水线的产物课程通过 GitHub Action 将英文课程自动翻译到 50 余种语言并存放于translations/目录。按 AGENTS.md 的说明译文文件为自动生成不应手动编辑内容上以英文原版为权威来源。在本地阅读该课程无需任何构建工具——仓库使用 Docsify 渲染静态站点入口为 index.html按照 AGENTS.md 给出的方式克隆仓库后运行python -m http.server 8000访问http://localhost:8000即可在浏览器中查看完整课程直接用任何 Markdown 编辑器打开各.md文件也可以。二、什么是目录服务Directory Service源文档给出的定义目录服务是一种专门化的数据库用于存储和管理网络资源的信息包括用户、组、设备、应用程序及其他对象。它充当身份与访问相关数据的集中式仓库使组织能够高效地管理和控制用户认证、授权以及其他安全相关任务。在现代 IT 环境中目录服务是身份与访问管理IAM方案的基石它支撑对资源的安全访问、强制实施访问策略并简化日常管理任务。文档明确点名了两类典型实现Microsoft Active DirectoryAD最广为人知的目录服务之一LDAPLightweight Directory Access Protocol目录轻量级目录访问协议实现的同类方案。需要强调的是课程遵循厂商中立原则这里列举 AD/LDAP 只是为了帮助建立“目录服务”的具体心智模型而非推荐某一商业产品。目录服务在网络安全语境下的 7 项核心职能源文档列出了目录服务的关键职能下表完整继承这 7 项并结合课程内其他文档补充其在身份体系中的作用#职能源文档描述与课程其他概念的关联1用户认证User Authentication校验用户凭据用户名、密码等确保只有获授权的用户能访问网络及其资源对应 2.1 中“认证是验证身份真伪”的定义是 MFA 的落点2用户授权User Authorization根据角色、组归属及其他属性确定每个用户的访问级别确保用户只能访问其有权访问的资源对应 2.1 中“授权回答‘认证后的用户能做什么’”是 RBAC 的执行基础3组管理Group Management允许管理员把用户组织进逻辑组把权限授予组而非个人简化访问控制管理RBAC 中“按角色授权”在目录里的具体承载形式4密码策略Password Policies强制执行密码复杂度与过期规则提升账户安全性属于“你知道的东西”这一认证因子的防护手段5单点登录SSO部分目录服务支持 SSO用户凭一套凭据访问多个应用与服务见下文“SSO”一节6集中式用户管理Centralized User Management将用户信息集中存放从单一位置管理账户、画像与属性IGA 生命周期管理的数据基础7审计与日志Auditing and Logging记录用户的认证与访问活动支撑安全审计与合规工作对应 1.5 零信任原则中的“持续监控”从这张职能表可以看出源文档的隐含逻辑目录服务解决的是“身份数据从哪里来、存放在哪、谁来管”而本文第三部分讨论的 8 项能力解决的是“基于这些身份数据如何执行具体的访问决策”。二者是“数据底座”与“控制策略”的关系。三、可用于保护身份的 8 项核心能力源文档第二节“What kind of capabilities can be used to secure identities?”给出了 8 项能力。以下逐条完整继承源文档定义并结合仓库内其他课程文档补充原理依据与典型场景。3.1 多因子认证MFA, Multi-Factor Authentication源文档定义MFA 要求用户在获得访问之前提供多种形式的验证通常包括用户“知道的东西”密码、用户“拥有的东西”手机或安全令牌、用户“本身”指纹或人脸等生物特征数据。原理补充这三种因子分类与 2.1 IAM key concepts.md 中对认证方式的讲解完全一致——Something you know密码、PIN 等秘密知识、Something you have智能卡、安全令牌、手机、Something you are指纹、人脸识别、虹膜等生物特征。MFA 的防护价值在于攻击者即使拿到了其中一个因子例如撞库得到密码仍无法单独完成认证。在 2.2 IAM zero trust architecture.md 中课程把“用户名/密码组合、MFA、生物特征等强认证机制”明确列为零信任架构中“彻底识别并认证访问者”的可用手段即 MFA 是零信任“验证身份”原则的直接执行工具。典型场景远程办公用户通过 MFA 访问 SaaS 应用管理员登录生产系统时触发推送式第二因子验证。3.2 单点登录SSO, Single Sign-On源文档定义SSO 允许用户凭一套凭据访问多个应用与系统改善用户体验并降低管理多套密码所带来的风险。原理补充SSO 同时出现在“目录服务 7 职能”第 5 项与“8 项身份能力”两个位置源文档借此暗示了二者的分工目录服务提供“单套凭据 统一身份画像”的数据基础SSO 则是在其上建立的登录体验与令牌复用机制。从风险角度看SSO 一方面减少了用户重复设置弱密码/复用密码的动机另一方面把“认证”收敛到目录服务这一个受控入口——认证环节越集中施加 MFA、审计日志、会话策略就越容易这与第 7 项职能“审计与日志”形成闭环。典型场景员工一次登录企业门户后免密访问邮件、代码托管、报销等多个内部系统。3.3 基于角色的访问控制RBAC, Role-Based Access Control源文档定义RBAC 按预定义角色分配权限用户在组织内的角色决定其获得的访问权。原理补充RBAC 是 2.1 IAM key concepts.md 中“最小权限原则principle of least privilege”的工程化落地。该课把最小权限表述为“只授予完成既定任务或角色所需的最小权限”并给出示例——“如果你只需要读一份文档授予你该文档的完整管理员权限就是过度的”。RBAC 正是通过“角色”这个中间层把权限与个人解耦权限绑定到角色人员变动时只需调整角色归属而不必逐个重配权限。这也直接利用了目录服务的第 3 项职能“组管理”——把权限授予组/角色而非个人使授权管理从 O(用户数 × 资源数) 收敛到 O(角色数 × 资源数)。典型场景开发人员角色可读写代码仓库但对财务系统只读或不可见DBA 角色持有数据库管理员权限。注意 2.1 同时讲解了“职责分离segregation of duties”——如财务系统中录入交易的人与审批交易的人必须是不同角色RBAC 设计时必须检查角色组合是否违背该原则。3.4 自适应认证Adaptive Authentication源文档定义自适应认证评估位置、设备、访问时间、用户行为等风险因素动态调整所需的认证强度当请求看起来可疑时会触发额外的认证步骤。原理补充在 1.5 Zero trust.md 中零信任被归纳为“验证身份、最小权限、微分段、持续监控、数据加密、严格访问控制”六项原则其中“严格访问控制”明确要求“基于上下文用户角色、设备健康状况、网络位置施加访问控制”。自适应认证正是把这类上下文信号转化为动态认证决策的机制常规上下文办公网络 已注册设备 工作时间可以免验或轻验异常上下文陌生国家 IP 新设备 凌晨则升级为 MFA 甚至拒绝。它与 2.2 IAM zero trust architecture.md 的差异对比表相呼应——传统架构的“信任假设”是“网络边界内默认可信”而身份中心的方法论是“绝不预设信任按身份与上下文持续验证”。典型场景员工从常用城市登录一次通过从非常用地登录时弹出 MFA检测到登录后行为异常如批量下载时触发再次认证。3.5 生物特征认证Biometric Authentication源文档定义使用指纹、面部特征、声纹等唯一生物特征进行身份验证甚至可以包括行为特征如打字速度。原理补充生物特征对应 MFA 三因子中的“Something you are”在 2.1 IAM key concepts.md 中已被列为独立认证因子类别。需要注意源文档把“打字速度”等行为特征与静态生物特征并列提及——从文档表述看这类动态行为特征更适合作为自适应认证/行为分析的连续信号见 3.8而非一次性比对因子两者在工程上是互补的。生物特征的另一重意义是便利性它让“强认证”的摩擦足够低从而支撑 MFA 在日常流程中的规模化使用而不是被用户绕过。典型场景Windows Hello 指纹解锁、移动设备 Face ID 解锁企业邮箱客户端。3.6 特权访问管理PAM, Privileged Access Management源文档定义PAM 聚焦于保护关键系统与数据的访问对特权账户施加严格管控包含“即时访问just-in-time”与“会话监控”等功能。原理补充特权账户是攻击者提权的首选目标PAM 的两项要点在课程其他文档中都有原则对应——“即时访问”是 2.1 IAM key concepts.md 最小权限原则的时间维度延伸权限不仅“最小”而且“只在需要的那一刻存在”“会话监控”则支撑 1.5 Zero trust.md 的“持续监控”原则。结合该课的最小权限示例读文档不需要管理员权限PAM 把这条逻辑推广到最高危的账户类型默认无特权申请—审批—限时授予—回收全程录像/日志可审计对应目录服务第 7 项职能。典型场景数据库管理员每两周申请一次生产库 root 会话30 分钟有效期间操作被全程录制到期自动回收。3.7 身份治理与管理IGA, Identity Governance and Administration源文档定义IGA 方案在用户整个生命周期内管理其身份及对资源的访问包括入职onboarding、供给provisioning、基于角色的访问控制与去供给deprovisioning。原理补充2.1 IAM key concepts.md 在描述 IAM 范畴时明确提到“IAM 方案通常涵盖用户认证、授权、身份供给、访问控制与用户生命周期管理确保不再使用的账户被删除”——IGA 正是这句话的完整展开。生命周期管理中最容易被忽视、也是泄露高发的是去供给环节离职/转岗员工的残留权限是内部审计的典型发现项。IGA 把 RBAC3.3嵌入流程入职按角色预配权限、转岗自动改角色、离职批量回收并借助目录服务的“集中式用户管理”第 6 项职能实现单一数据源用“审计与日志”第 7 项职能留痕。典型场景新员工入职工单触发自动建号 按岗位角色赋权员工转岗后旧角色 24 小时内自动剥离。3.8 行为分析Behavioral Analytics源文档定义行为分析监控用户行为并建立基线模式偏离常态可触发告警以便进一步调查。原理补充这是 8 项能力中唯一“事后/连续”型控制——MFA、SSO、RBAC、PAM 都作用于访问决策点而行为分析作用于访问之后的持续观测直接对应 1.5 Zero trust.md 的“持续监控”原则该课还提到现代监控可结合机器学习、AI 与威胁情报提供额外上下文。从课程文档结构看行为分析是第 2 模块身份与第 4 模块SecOps含 SIEM/XDR 工具链见 4.3 SecOps capabilities.md之间的衔接点身份侧产生行为数据SecOps 侧负责关联、检测与响应。基线化baseline是其方法论核心——先建立“正常”常登录地点、常用设备、典型操作节奏再把异常非常用地点登录、批量导出、非工作时间操作转为告警。典型场景某账号平时只在北京时段登录突然凌晨从境外 IP 登录并触发下载行为系统偏离基线告警安全运营介入调查这正是自适应认证 3.4 触发加验的前置信号。3.9 八项能力速查解决什么问题、依赖什么能力解决的核心问题依赖的目录服务职能对应的零信任/治理原则依据课程文档MFA凭据泄露后的横向突破用户认证、集中管理验证身份1.5SSO多套密码的风险与体验SSO 支持、集中管理验证身份 集中审计RBAC权限与个人耦合、难维护组管理、用户授权最小权限2.1自适应认证静态策略无法应对动态风险审计与日志提供上下文信号严格访问控制基于上下文生物特征强认证体验差用户认证验证身份Something you arePAM特权账户被滥用集中管理、审计与日志最小权限 持续监控IGA生命周期权限残留集中管理、组管理最小权限 职责分离行为分析已认证账户的恶意/异常使用审计与日志持续监控1.5四、把这 8 项能力放进“身份即边界”的框架里2.2 IAM zero trust architecture.md 给出了一张“传统 IT 架构 vs 身份中心方法”的对比表聚焦、位置依赖、信任假设、设备考量、数据保护五个维度其结论是远程办公、云与混合环境使传统“物理边界 边界内默认可信”的模型失效组织转而把身份作为新的边界。该课进一步指出在零信任架构中“每一个寻求访问资源的人、设备、应用与服务都必须先被彻底识别和认证”。把本文第二部分与第三部分串起来看2.3 课描述的正是这条路线的能力清单数据底座目录服务集中存储用户/组/设备/应用对象并提供认证、授权、组管理、密码策略、SSO、集中管理、审计日志七项职能访问决策点控制MFA、SSO、RBAC、自适应认证、生物特征认证、PAM——决定“谁能进、进多深”生命周期治理IGA——保证权限集合随人员变化而收敛而不是只增不减持续观测行为分析 目录服务的审计日志——把“一次性认证”延伸为“持续验证”闭合 1.5 Zero trust.md 所述“持续监控”原则。换言之8 项能力不是孤立的采购清单而是围绕同一批身份数据、在不同时间点登录时、授权时、使用中、离职时执行的不同控制策略。五、学习路径与延伸阅读仓库内按课程的设计建议按以下顺序在本仓库内继续阅读1.5 Zero trust.md——先建立零信任六原则与纵深防御“瑞士奶酪”模型的概念基础2.1 IAM key concepts.md——IAM 定义、最小权限、职责分离、认证 vs 授权2.2 IAM zero trust architecture.md——身份作为边界的理由与传统/身份中心对比表2.3 IAM capabilities.md——本文对应的能力清单英文原版其他语言版本位于translations/目录如意大利语 translations/it/2.3 IAM capabilities.md由 Co-op Translator 自动流水线维护2.4 End of module quiz.md——模块 2 结业测验入口测验表单链接置于此文件中。本地预览课程的方法见 AGENTS.md仓库为纯文档项目无构建依赖克隆后以python -m http.server 8000起一个静态服务通过 Docsify 渲染的 index.html 浏览课程总览与各模块学习目标的对照表在 README.md 的 Modules Overview 一节。小结Security-101 的 2.3 课把身份安全压缩成两个问题身份数据放在哪目录服务及其 7 项职能以及基于这些数据执行哪些控制MFA、SSO、RBAC、自适应认证、生物特征认证、PAM、IGA、行为分析这 8 项能力。结合课程前几课可以提炼出一条主线目录服务是数据底座MFA/SSO/RBAC/PAM 把最小权限原则落到访问决策点IGA 保证权限随生命周期收敛行为分析与审计日志把验证从“登录瞬间”延伸到“会话全程”——这正是 2.2 所描述的“身份即边界”在能力层面的完整展开。【免费下载链接】Security-1018 Lessons, Kick-start Your Cybersecurity Learning.项目地址: https://gitcode.com/GitHub_Trending/se/Security-101创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
Security-101 IAM 能力指南：目录服务与 8 大身份保护控制（MFA/SSO/RBAC/自适应/PAM/IGA/行为分析）
Security-101 IAM 能力指南目录服务与 8 大身份保护控制MFA/SSO/RBAC/自适应/PAM/IGA/行为分析【免费下载链接】Security-1018 Lessons, Kick-start Your Cybersecurity Learning.项目地址: https://gitcode.com/GitHub_Trending/se/Security-101本文基于 Security-101Cybersecurity for Beginners课程第 2 模块第 2.3 课《IAM Capabilities》课程内对应文档为 2.3 IAM capabilities.md其意大利语译文即本文的主源文档 translations/it/2.3 IAM capabilities.md展开。文章先讲清“目录服务Directory Service”这一身份基础设施的定义、典型代表与 7 项核心职能再逐一剖析 MFA、SSO、RBAC、自适应认证、生物特征认证、PAM、IGA 与行为分析这 8 项身份安全能力并将它们映射回课程中零信任与最小权限原则1.5 Zero trust.md、2.1 IAM key concepts.md。读完后你将能够独立判断一个组织需要哪些身份控制组合并理解每一项控制背后的设计原理。一、课程定位IAM 能力在 Security-101 中的位置Security-101 是一门厂商中立vendor agnostic的入门级网络安全课程按模块组织每课约 30–60 分钟。从 README.md 的课程总览表可以看到第 2 模块“Identity access management fundamentals”由四课构成2.3 课在其中的定位是“学习用于保护身份的 IAM 能力与控制”课次文件关注点2.12.1 IAM key concepts.mdIAM 定义、最小权限、职责分离、认证与授权的区别2.22.2 IAM zero trust architecture.md为什么“身份即边界”与传统架构的差异对比2.32.3 IAM capabilities.md本文主题目录服务 8 项身份保护能力2.42.4 End of module quiz.md模块结业测验入口本文所依据的意大利语文档头部带有CO_OP_TRANSLATOR_METADATA注释块标注了原文 hash、翻译时间与源文件名这是课程自动翻译流水线的产物课程通过 GitHub Action 将英文课程自动翻译到 50 余种语言并存放于translations/目录。按 AGENTS.md 的说明译文文件为自动生成不应手动编辑内容上以英文原版为权威来源。在本地阅读该课程无需任何构建工具——仓库使用 Docsify 渲染静态站点入口为 index.html按照 AGENTS.md 给出的方式克隆仓库后运行python -m http.server 8000访问http://localhost:8000即可在浏览器中查看完整课程直接用任何 Markdown 编辑器打开各.md文件也可以。二、什么是目录服务Directory Service源文档给出的定义目录服务是一种专门化的数据库用于存储和管理网络资源的信息包括用户、组、设备、应用程序及其他对象。它充当身份与访问相关数据的集中式仓库使组织能够高效地管理和控制用户认证、授权以及其他安全相关任务。在现代 IT 环境中目录服务是身份与访问管理IAM方案的基石它支撑对资源的安全访问、强制实施访问策略并简化日常管理任务。文档明确点名了两类典型实现Microsoft Active DirectoryAD最广为人知的目录服务之一LDAPLightweight Directory Access Protocol目录轻量级目录访问协议实现的同类方案。需要强调的是课程遵循厂商中立原则这里列举 AD/LDAP 只是为了帮助建立“目录服务”的具体心智模型而非推荐某一商业产品。目录服务在网络安全语境下的 7 项核心职能源文档列出了目录服务的关键职能下表完整继承这 7 项并结合课程内其他文档补充其在身份体系中的作用#职能源文档描述与课程其他概念的关联1用户认证User Authentication校验用户凭据用户名、密码等确保只有获授权的用户能访问网络及其资源对应 2.1 中“认证是验证身份真伪”的定义是 MFA 的落点2用户授权User Authorization根据角色、组归属及其他属性确定每个用户的访问级别确保用户只能访问其有权访问的资源对应 2.1 中“授权回答‘认证后的用户能做什么’”是 RBAC 的执行基础3组管理Group Management允许管理员把用户组织进逻辑组把权限授予组而非个人简化访问控制管理RBAC 中“按角色授权”在目录里的具体承载形式4密码策略Password Policies强制执行密码复杂度与过期规则提升账户安全性属于“你知道的东西”这一认证因子的防护手段5单点登录SSO部分目录服务支持 SSO用户凭一套凭据访问多个应用与服务见下文“SSO”一节6集中式用户管理Centralized User Management将用户信息集中存放从单一位置管理账户、画像与属性IGA 生命周期管理的数据基础7审计与日志Auditing and Logging记录用户的认证与访问活动支撑安全审计与合规工作对应 1.5 零信任原则中的“持续监控”从这张职能表可以看出源文档的隐含逻辑目录服务解决的是“身份数据从哪里来、存放在哪、谁来管”而本文第三部分讨论的 8 项能力解决的是“基于这些身份数据如何执行具体的访问决策”。二者是“数据底座”与“控制策略”的关系。三、可用于保护身份的 8 项核心能力源文档第二节“What kind of capabilities can be used to secure identities?”给出了 8 项能力。以下逐条完整继承源文档定义并结合仓库内其他课程文档补充原理依据与典型场景。3.1 多因子认证MFA, Multi-Factor Authentication源文档定义MFA 要求用户在获得访问之前提供多种形式的验证通常包括用户“知道的东西”密码、用户“拥有的东西”手机或安全令牌、用户“本身”指纹或人脸等生物特征数据。原理补充这三种因子分类与 2.1 IAM key concepts.md 中对认证方式的讲解完全一致——Something you know密码、PIN 等秘密知识、Something you have智能卡、安全令牌、手机、Something you are指纹、人脸识别、虹膜等生物特征。MFA 的防护价值在于攻击者即使拿到了其中一个因子例如撞库得到密码仍无法单独完成认证。在 2.2 IAM zero trust architecture.md 中课程把“用户名/密码组合、MFA、生物特征等强认证机制”明确列为零信任架构中“彻底识别并认证访问者”的可用手段即 MFA 是零信任“验证身份”原则的直接执行工具。典型场景远程办公用户通过 MFA 访问 SaaS 应用管理员登录生产系统时触发推送式第二因子验证。3.2 单点登录SSO, Single Sign-On源文档定义SSO 允许用户凭一套凭据访问多个应用与系统改善用户体验并降低管理多套密码所带来的风险。原理补充SSO 同时出现在“目录服务 7 职能”第 5 项与“8 项身份能力”两个位置源文档借此暗示了二者的分工目录服务提供“单套凭据 统一身份画像”的数据基础SSO 则是在其上建立的登录体验与令牌复用机制。从风险角度看SSO 一方面减少了用户重复设置弱密码/复用密码的动机另一方面把“认证”收敛到目录服务这一个受控入口——认证环节越集中施加 MFA、审计日志、会话策略就越容易这与第 7 项职能“审计与日志”形成闭环。典型场景员工一次登录企业门户后免密访问邮件、代码托管、报销等多个内部系统。3.3 基于角色的访问控制RBAC, Role-Based Access Control源文档定义RBAC 按预定义角色分配权限用户在组织内的角色决定其获得的访问权。原理补充RBAC 是 2.1 IAM key concepts.md 中“最小权限原则principle of least privilege”的工程化落地。该课把最小权限表述为“只授予完成既定任务或角色所需的最小权限”并给出示例——“如果你只需要读一份文档授予你该文档的完整管理员权限就是过度的”。RBAC 正是通过“角色”这个中间层把权限与个人解耦权限绑定到角色人员变动时只需调整角色归属而不必逐个重配权限。这也直接利用了目录服务的第 3 项职能“组管理”——把权限授予组/角色而非个人使授权管理从 O(用户数 × 资源数) 收敛到 O(角色数 × 资源数)。典型场景开发人员角色可读写代码仓库但对财务系统只读或不可见DBA 角色持有数据库管理员权限。注意 2.1 同时讲解了“职责分离segregation of duties”——如财务系统中录入交易的人与审批交易的人必须是不同角色RBAC 设计时必须检查角色组合是否违背该原则。3.4 自适应认证Adaptive Authentication源文档定义自适应认证评估位置、设备、访问时间、用户行为等风险因素动态调整所需的认证强度当请求看起来可疑时会触发额外的认证步骤。原理补充在 1.5 Zero trust.md 中零信任被归纳为“验证身份、最小权限、微分段、持续监控、数据加密、严格访问控制”六项原则其中“严格访问控制”明确要求“基于上下文用户角色、设备健康状况、网络位置施加访问控制”。自适应认证正是把这类上下文信号转化为动态认证决策的机制常规上下文办公网络 已注册设备 工作时间可以免验或轻验异常上下文陌生国家 IP 新设备 凌晨则升级为 MFA 甚至拒绝。它与 2.2 IAM zero trust architecture.md 的差异对比表相呼应——传统架构的“信任假设”是“网络边界内默认可信”而身份中心的方法论是“绝不预设信任按身份与上下文持续验证”。典型场景员工从常用城市登录一次通过从非常用地登录时弹出 MFA检测到登录后行为异常如批量下载时触发再次认证。3.5 生物特征认证Biometric Authentication源文档定义使用指纹、面部特征、声纹等唯一生物特征进行身份验证甚至可以包括行为特征如打字速度。原理补充生物特征对应 MFA 三因子中的“Something you are”在 2.1 IAM key concepts.md 中已被列为独立认证因子类别。需要注意源文档把“打字速度”等行为特征与静态生物特征并列提及——从文档表述看这类动态行为特征更适合作为自适应认证/行为分析的连续信号见 3.8而非一次性比对因子两者在工程上是互补的。生物特征的另一重意义是便利性它让“强认证”的摩擦足够低从而支撑 MFA 在日常流程中的规模化使用而不是被用户绕过。典型场景Windows Hello 指纹解锁、移动设备 Face ID 解锁企业邮箱客户端。3.6 特权访问管理PAM, Privileged Access Management源文档定义PAM 聚焦于保护关键系统与数据的访问对特权账户施加严格管控包含“即时访问just-in-time”与“会话监控”等功能。原理补充特权账户是攻击者提权的首选目标PAM 的两项要点在课程其他文档中都有原则对应——“即时访问”是 2.1 IAM key concepts.md 最小权限原则的时间维度延伸权限不仅“最小”而且“只在需要的那一刻存在”“会话监控”则支撑 1.5 Zero trust.md 的“持续监控”原则。结合该课的最小权限示例读文档不需要管理员权限PAM 把这条逻辑推广到最高危的账户类型默认无特权申请—审批—限时授予—回收全程录像/日志可审计对应目录服务第 7 项职能。典型场景数据库管理员每两周申请一次生产库 root 会话30 分钟有效期间操作被全程录制到期自动回收。3.7 身份治理与管理IGA, Identity Governance and Administration源文档定义IGA 方案在用户整个生命周期内管理其身份及对资源的访问包括入职onboarding、供给provisioning、基于角色的访问控制与去供给deprovisioning。原理补充2.1 IAM key concepts.md 在描述 IAM 范畴时明确提到“IAM 方案通常涵盖用户认证、授权、身份供给、访问控制与用户生命周期管理确保不再使用的账户被删除”——IGA 正是这句话的完整展开。生命周期管理中最容易被忽视、也是泄露高发的是去供给环节离职/转岗员工的残留权限是内部审计的典型发现项。IGA 把 RBAC3.3嵌入流程入职按角色预配权限、转岗自动改角色、离职批量回收并借助目录服务的“集中式用户管理”第 6 项职能实现单一数据源用“审计与日志”第 7 项职能留痕。典型场景新员工入职工单触发自动建号 按岗位角色赋权员工转岗后旧角色 24 小时内自动剥离。3.8 行为分析Behavioral Analytics源文档定义行为分析监控用户行为并建立基线模式偏离常态可触发告警以便进一步调查。原理补充这是 8 项能力中唯一“事后/连续”型控制——MFA、SSO、RBAC、PAM 都作用于访问决策点而行为分析作用于访问之后的持续观测直接对应 1.5 Zero trust.md 的“持续监控”原则该课还提到现代监控可结合机器学习、AI 与威胁情报提供额外上下文。从课程文档结构看行为分析是第 2 模块身份与第 4 模块SecOps含 SIEM/XDR 工具链见 4.3 SecOps capabilities.md之间的衔接点身份侧产生行为数据SecOps 侧负责关联、检测与响应。基线化baseline是其方法论核心——先建立“正常”常登录地点、常用设备、典型操作节奏再把异常非常用地点登录、批量导出、非工作时间操作转为告警。典型场景某账号平时只在北京时段登录突然凌晨从境外 IP 登录并触发下载行为系统偏离基线告警安全运营介入调查这正是自适应认证 3.4 触发加验的前置信号。3.9 八项能力速查解决什么问题、依赖什么能力解决的核心问题依赖的目录服务职能对应的零信任/治理原则依据课程文档MFA凭据泄露后的横向突破用户认证、集中管理验证身份1.5SSO多套密码的风险与体验SSO 支持、集中管理验证身份 集中审计RBAC权限与个人耦合、难维护组管理、用户授权最小权限2.1自适应认证静态策略无法应对动态风险审计与日志提供上下文信号严格访问控制基于上下文生物特征强认证体验差用户认证验证身份Something you arePAM特权账户被滥用集中管理、审计与日志最小权限 持续监控IGA生命周期权限残留集中管理、组管理最小权限 职责分离行为分析已认证账户的恶意/异常使用审计与日志持续监控1.5四、把这 8 项能力放进“身份即边界”的框架里2.2 IAM zero trust architecture.md 给出了一张“传统 IT 架构 vs 身份中心方法”的对比表聚焦、位置依赖、信任假设、设备考量、数据保护五个维度其结论是远程办公、云与混合环境使传统“物理边界 边界内默认可信”的模型失效组织转而把身份作为新的边界。该课进一步指出在零信任架构中“每一个寻求访问资源的人、设备、应用与服务都必须先被彻底识别和认证”。把本文第二部分与第三部分串起来看2.3 课描述的正是这条路线的能力清单数据底座目录服务集中存储用户/组/设备/应用对象并提供认证、授权、组管理、密码策略、SSO、集中管理、审计日志七项职能访问决策点控制MFA、SSO、RBAC、自适应认证、生物特征认证、PAM——决定“谁能进、进多深”生命周期治理IGA——保证权限集合随人员变化而收敛而不是只增不减持续观测行为分析 目录服务的审计日志——把“一次性认证”延伸为“持续验证”闭合 1.5 Zero trust.md 所述“持续监控”原则。换言之8 项能力不是孤立的采购清单而是围绕同一批身份数据、在不同时间点登录时、授权时、使用中、离职时执行的不同控制策略。五、学习路径与延伸阅读仓库内按课程的设计建议按以下顺序在本仓库内继续阅读1.5 Zero trust.md——先建立零信任六原则与纵深防御“瑞士奶酪”模型的概念基础2.1 IAM key concepts.md——IAM 定义、最小权限、职责分离、认证 vs 授权2.2 IAM zero trust architecture.md——身份作为边界的理由与传统/身份中心对比表2.3 IAM capabilities.md——本文对应的能力清单英文原版其他语言版本位于translations/目录如意大利语 translations/it/2.3 IAM capabilities.md由 Co-op Translator 自动流水线维护2.4 End of module quiz.md——模块 2 结业测验入口测验表单链接置于此文件中。本地预览课程的方法见 AGENTS.md仓库为纯文档项目无构建依赖克隆后以python -m http.server 8000起一个静态服务通过 Docsify 渲染的 index.html 浏览课程总览与各模块学习目标的对照表在 README.md 的 Modules Overview 一节。小结Security-101 的 2.3 课把身份安全压缩成两个问题身份数据放在哪目录服务及其 7 项职能以及基于这些数据执行哪些控制MFA、SSO、RBAC、自适应认证、生物特征认证、PAM、IGA、行为分析这 8 项能力。结合课程前几课可以提炼出一条主线目录服务是数据底座MFA/SSO/RBAC/PAM 把最小权限原则落到访问决策点IGA 保证权限随生命周期收敛行为分析与审计日志把验证从“登录瞬间”延伸到“会话全程”——这正是 2.2 所描述的“身份即边界”在能力层面的完整展开。【免费下载链接】Security-1018 Lessons, Kick-start Your Cybersecurity Learning.项目地址: https://gitcode.com/GitHub_Trending/se/Security-101创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
