访问权限开通（Access Provisioning）：安全的用户访问最佳实践

网络的首要目的，是在一个 用户群之间实现资源共享。无论这些资源是 计算设备 、应用程序还是文件数据，目标都是只向真正需要的人提供访问权限。然而，要实现这一目标并不容易，因为现代组织高度动态。就在任何一天，新员工可能会被入职，其他人可能会承担更多或不同的职责，而也有人可能离开公司。此外，组织会定期引入临时工作人员或外部专家，并与各种业务合作伙伴和供应商轮换合作关系。当然，组织也会采用新的系统与应用程序，并淘汰不再需要的旧系统。

要确保用户访问权限能够与所有这些事件保持同步演进，必须在所有用户帐户的完整生命周期中实施有效的访问预配。本文将探讨

什么是访问预配？

访问预配是创建、管理和维护用户身份，以及其对组织系统、应用程序和信息的访问权限的过程。它包括根据用户当前的职责和组织政策授予、修改以及撤销用户权限。

访问管理的核心是 least privilege 原则，即要求为每位用户仅授予其完成工作所必需的最小访问权限。其目标是在安全性与生产力之间取得平衡——确保用户能够访问所需资源，同时防止未经授权的访问。

访问预配的关键类型

组织有多种类型的访问权限配置可供选择，包括：

• 自主/酌情式访问权限配置
• 自助式访问权限配置
• 基于工作流的权限配置
• 自动化访问权限配置

自主访问预配（Discretionary Access Provisioning, DAP）

在 DAP 中，访问权限由特定人员（例如部门负责人或团队负责人）手动授予。这种方法能够确保本地控制，因为资源所有者可以根据自身的具体需求管理访问。它不需要复杂的策略，也不需要身份与访问管理（identity and access management, IAM）解决方案。

尽管 DAP 简单且成本较低，但它确实存在一些严重的缺点，包括以下几点：

• 由于不同的资源所有者可能会采用不同的标准，结果可能不一致。
• 由于人为错误，手动流程更容易出错。
• 由于它依赖手动配置（provisioning），随着用户规模增长，DAP 难以轻松扩展。
• 这种做法可能无法满足监管或行业要求。

Self-Service Access Provisioning (SAP)

通过 SAP，用户可以请求访问特定的应用程序、数据或系统，通常无需管理员直接介入。自助服务常用于日常或低风险的资源，例如访问内部工具或知识库；在这种情况下，延迟可能会影响工作效率。

这种方法可以降低 IT 工作负担，并加快访问配置（provisioning）。然而，它也存在重要的弱点：

• 用户可能会有意或无意地请求超出所需的访问权限，从而导致存在风险的过度配置（over-provisioning）。
• 自助式配置（self-provisioning）系统可能会使得随时间跟踪和审计访问变更变得更加困难，因为它允许用户在几乎缺乏管理监督的情况下自行管理其访问权限。
• 部分用户可能会觉得自助服务系统令人困惑或过于复杂。

Workflow-Based Access Provisioning (WAP)

与 SAP 类似，WAP 涉及用于管理访问权限的结构化请求与审批流程——但如果说 SAP 通常会自动化或加速账户开通访问（provisioning access），那么 WAP 则需要多个审批层级。基于工作流的开通（provisioning）更适用于关键应用、包含敏感数据的系统，或由合规要求所约束的访问。WAP 有助于建立清晰的制衡机制，并为访问请求与审批创建审计追踪（audit trail）。

然而，一个问题是：随着组织架构和政策不断变化，保持工作流（workflows）与之同步并保持最新可能会非常耗时。

许多成功的基于 WAP 的落地案例，往往是在将 SAP 与 WAP 结合起来作为基础时实现的。

自动化访问开通（Automated Access Provisioning）

自动化访问开通（automated access provisioning）通过系统之间的连接以及预定义的角色，根据用户的职位头衔或所属部门授予相应的访问权限。下面列出此方法的一些优势：

• 可以自动为新员工进行配置（provisioning），让他们更快进入工作状态并提高生产力。
• 同样地，被分配了新职责的用户也可以迅速获得他们所需的精确访问权限。
• 当员工离开组织时，可以自动移除其访问权限，从而降低未经授权访问的风险。
• 自动应用访问策略可以确保一致性，并降低人为错误的风险。
• 通过减少手动流程，组织可以显著降低 IT 运营成本。
• 自动化系统可以轻松扩展，以满足不断增长的需求。
• 自动化系统可以保留详细的审计日志，从而有助于符合相关法规要求。
• 当自动化系统与例外（exception）为基础的策略结合时，并且这些策略可通过 Self-Service Access Provisioning 进行查看，同时还通过 WAP 进行把关以批准编排（orchestrated）的变更，系统性能会得到提升。

基于角色的访问控制（Role-Based Access Control，RBAC）和基于属性的访问控制（Attribute-Based Access Control，ABAC）

最佳实践建议不要为单个用户分配特定权限，而是采用基于角色或属性的结构化方法来授予访问权限。

基于角色的访问控制

在 RBAC 方法中，组织会定义一组与业务功能相匹配的角色，并为每个角色分配相应的访问权限。例如，“人力资源专家（Human Resources Specialist）”这一角色可能会被授予对 HR 数据库和招聘系统的访问权限。用户会继承其被分配到的角色所获得的权利。

这种基于角色的方法具有多重优势。尤其是 RBAC：

• 由于只需为用户分配正确的角色，因此加快了账户的配置（Provisioning）。
• 确保访问权限的分配保持一致且准确。
• 支持快速变更，并可影响整个团队，例如为新的数据源授予访问权限
• 随着用户规模增长，能够轻松扩展

基于属性的访问控制（ABAC）

ABAC 在访问控制方面采用更动态的方法。它不依赖预先定义的角色，而是会考虑各种属性，例如资源的敏感级别、一天中的时间、位置以及正在使用的设备配置。

这种方法具有重要优势。例如，ABAC：

• 提供更细粒度且具备上下文感知的访问控制
• 在定义访问策略方面提供更大的灵活性
• 能够实时适应不断变化的条件
• 支持复杂的访问场景，而这些场景可能无法轻松地归入角色定义

为实现最佳安全性：何时选择 RBAC 与 ABAC

对于具有明确定义的角色、职责清晰且访问需求在一段时间内相对稳定的组织而言，RBAC 最为有效。当你的目标是简化管理并降低访问管理的复杂性时，RBAC 是一个很好的选择。在合规要求需要明确且基于角色的职责分离时，RBAC 同样非常理想。

当访问决策需要考虑除岗位角色之外的因素时，例如用户属性、资源属性、环境条件以及上下文信息，ABAC 是最合适的选择。它特别适用于对访问需求复杂且动态、并且需要细粒度控制策略的组织。ABAC在需要实时适应不断变化的安全环境的场景中表现出色，例如实施基于位置的访问，或根据一天中的时间或设备类型调整权限。

注：可以考虑从属性来定义角色。这样一来，随着属性的变化应用，角色变更就能够自动化完成。

访问配置的优势

访问配置的优势包括：

• 缩小攻击面 — 在生命周期的每个阶段，每个用户帐户都仅拥有完成工作所需的最小权限；当员工离开组织时，访问权限会立即被撤销。通过对最小特权（least privilege）的细粒度强制，可以降低内部威胁的风险，并限制成功入侵某个帐户后对手的影响范围。
• 更强的安全性 — 结构化、尤其是自动化的访问预配流程，有助于减少可能导致过度授权的人工错误。 
• 提升用户生产力 — 用户可以迅速获得履行职责所需的访问权限。
• 提升 IT 团队生产力 — 将例行的访问管理任务自动化，可让 IT 人员腾出时间，专注于其他优先事项。
• 合规性 — 访问预配工具可以为调查提供清晰的审计追踪，并在审计期间证明符合诸如 HIPAA 或 SOC 2 之类的法规要求。

访问权限配置中的常见挑战

如今，要实施有效的访问权限配置可能具有挑战性。以下是一些最主要的障碍。

IT 复杂性与云基础设施

如今的 IT 环境比以往任何时候都更为复杂。组织正在迅速采用各种新技术，并将数据和工作负载转移到 云端。 与此同时，出于业务、安全或合规等原因，它们往往需要保留传统（遗留）系统。将这些旧系统集成到现代访问管理解决方案中，可能在技术上很困难，甚至可能无法实现。最终可能导致本地部署与云端环境分别使用一套工具和流程，从而增加 IT 团队的工作量，并对技能多样性提出更高要求。

访问权限蔓延（Access Creep）

尽管有必要贯彻 least privilege 的原则，但在大多数组织中，现实情况是：用户账户往往会随着时间推移不断累积不必要的访问权限。例如，当项目完成或个人变更岗位/职责时，不再需要的访问权限可能不会被移除。清理这种过度授权是一项巨大的工作，且由于不当的变更可能会扰乱关键业务流程，IT 团队可能会不愿撤销权限。

一个正确实施的访问配置（provisioning）方案也应将撤销访问（de-provisioning）纳入整体访问生命周期中加以考虑。

组织变更

除了正常的员工流动（离职/入职）、调动和晋升之外，许多组织还必须应对并购与重组等情况。这些事件可能需要对访问配置（access provisioning）进行大规模变更，而手工流程往往难以有效支持。事实上，即便使用自动化的访问配置工具，IT 团队也可能难以定义一套全面的角色（roles）及其对应的访问权限：既要贯彻 least privilege，又要尽量降低业务中断的风险。

有效访问权限分配的最佳实践

严格执行最小特权原则。

这一最佳实践是安全的基石：每位用户只能拥有完成其工作所必需的最小访问权限。贯彻 最小特权 可以限制用户在蓄意或意外情况下造成的损害，并缩小攻陷账户的对手所能触及的范围。

记录访问策略。

创建用户访问权限分配策略，详细说明请求、审批、修改和撤销访问权限的流程。此外，定义一组用于管理访问的角色及其关联权限，并制定处理特权账户的标准。这些策略既是为了安全，也是为了合规审计所必需。

定期进行访问审查。

组织应定期审查所有已定义的角色及其访问权限，对所有账户进行审计以发现过度或已过时的特权，并查找孤立（遗留）的账户。该审查流程需要 IT 团队与业务相关方密切协作，尤其是资源所有者——他们最有条件判断应由谁来访问哪些资源以及拥有何种访问权限。

监控访问活动。

持续监控并记录访问活动，可以帮助组织在新的访问权限被滥用之前，快速发现并撤销对权限所做的不当修改。由于这种监控对安全至关重要，它也是许多行业标准和监管要求的一项内容。

尽量减少长期存在的特权访问权限。

如果攻击者获得对管理账户的控制权，可能造成严重破坏：从窃取关键数据到瘫痪整个系统。要大幅降低这种风险，应仅在特定任务需要时，使用 just-in-time (JIT) access provisioning 授予提升的访问权限。

应用临时访问策略。

无论授予访问权限的方式是什么，最佳实践都是应用策略，确保访问始终具有临时性质。可以通过为获得访问权限的组成员资格建立生命周期、在角色和组中设定临时成员资格策略，并且最终在加入/退出流程中限制临时变更的范围来实现。

通过生命周期来强制执行身份核验任务。

尽管对访问的持续有效性与准确性进行身份核验可能是大多数定期审计自身环境的组织的要求，但如果不自动化该过程，访问可能会被忽视。为了确保身份核验准确发生，请通过将其绑定到生命周期流程来强制执行操作：一旦未能应用审查策略就将产生后果。请确保你的生命周期引擎允许回滚更改。

用于访问预配的工具

如今市面上有一些出色的访问预配工具，正如我们在 这里 中详细讨论的那样。除了自动预配和撤销预配的核心功能外，请务必关注 RBAC 或 ABAC、MFA 和 SSO。

一些最受欢迎的解决方案包括：

• Netwrix Directory Manager 通过强大的身份管理与用户生命周期能力，简化访问预配流程，使组织能够更高效地完成用户入职、离职以及角色变更。借助自动化的组成员管理、自助式访问请求和实时更新等功能，它有助于确保每位用户在正确的时间获得正确的访问权限。
• Microsoft Entra ID（原名 Azure Active Directory）是依赖 Microsoft 云的组织的良好解决方案。主要功能包括单点登录、多因素身份验证和条件访问。
• CyberArk Idaptive 将身份管理、企业移动性管理和用户行为分析集成到一个统一的解决方案中。它提供 SSO、MFA 和身份生命周期管理，并具备机器学习能力，能够实时检测并响应可疑活动。
• Okta Identity Cloud 是一款基于云的解决方案，使组织在发展壮大时无需额外硬件即可轻松扩展。Okta 提供 7,000 多种与应用程序及其他基础设施组件的预构建集成。

访问权限配置的重要性

有效的访问权限配置对于在保障敏感信息的同时让用户能够完成工作至关重要。它也是实现并证明符合监管要求和行业标准的关键因素。借助自动化解决方案，在现代混合环境中简化访问权限配置流程，组织即可在提升安全态势的同时优化运营。

常见问题

当您的访问权限已被分配（provisioned）时，这意味着什么？

当您的访问权限已被分配（provisioned）时，表示您可以访问特定数据、应用程序或其他 IT 资源。该过程通常包括创建您的用户帐户，并根据您的工作职责授予相应的访问权限。

访问权限的分配（provisioning access）是什么？

分配（Provisioning）是管理和控制用户对 IT 资源的访问权限的过程。目标是在防止不恰当访问的同时，让用户能够执行其工作职能。准确的分配对于安全性和监管合规都至关重要。尽管手动分配流程非常耗时且容易出错，但现代解决方案会借助诸如基于角色的访问控制（RBAC）或基于属性的访问控制（ABAC）等模型来简化工作。

用户身份验证（user authentication）和用户权限分配（user provisioning）有什么区别？

认证（Authentication）是验证用户身份的过程，通常通过要求密码或使用诸如生物识别等更现代的替代方式来实现。将多种方法在一个称为多因素认证（multifactor authentication，MFA）的流程中组合使用。

Provisioning（配置/供给）是指在用户生命周期的整个过程中管理用户账号及其关联访问权限的过程。其目的在于确保每个用户都拥有恰到好处的访问权限水平，以便有效履行其工作职能。

用户访问配置（user access provisioning）的一个例子是什么？

用户访问配置（user access provisioning）中最常见的情况之一，是为新员工创建用户账号，并授予其完成工作所需的、恰到好处的访问权限。例如，如果新员工在财务部门工作，他们可能会获得对公司财务软件以及特定共享驱动器的访问权限，但不会获得对人力资源（HR）文件或 IT 管理工具的访问权限。