Управление идентификацией и доступом (IAM).

Управление идентификацией и доступом (IAM) — это набор политик, процессов и инструментов, который управляет жизненным циклом человеческих и машинных идентичностей и регулирует их доступ к приложениям, данным и инфраструктуре. К ключевым возможностям относятся выдача и отзыв учётных записей, аутентификация, авторизация, единый вход (SSO), многофакторная аутентификация, управление ролями и правами, а также журналирование аудита. IAM — это опора архитектур нулевого доверия, где каждое решение о доступе зависит от проверенной идентичности и её атрибутов, а не от сетевого расположения.

IAM строится на открытых стандартах: SAML 2.0 и OpenID Connect (поверх OAuth 2.0) для федеративного SSO и SCIM 2.0 (IETF RFC 7642/7643/7644) для междоменной выдачи учётных записей, автоматически создающей, обновляющей и деактивирующей аккаунты в SaaS-приложениях. Зрелые программы добавляют смежные дисциплины: управление и администрирование идентичностей (IGA) для сертификации доступа, управление привилегированным доступом (PAM) для административных учётных записей и CIEM для облачных прав.

Слабый IAM — одна из главных причин утечек: украденные или повторно используемые учётные данные стабильно входят в число ведущих векторов первоначального доступа в отчёте Verizon DBIR, а «осиротевшие» учётные записи, постоянные привилегии и неуправляемые сервисные идентичности рутинно используются для бокового перемещения. Соблюдение наименьших привилегий, доступ «точно в срок» и оперативный отзов при увольнении сокращают эту поверхность атаки.

flowchart LR
  A[Источник идентичности: HR, каталог] --> B[Выдача через SCIM]
  B --> C[Хранилище идентичностей и IdP]
  C --> D[Аутентификация: MFA, SSO]
  D --> E[Авторизация: политика RBAC/ABAC]
  E --> F{Решение о доступе}
  F -->|Разрешить| G[Доступ к ресурсу и журнал аудита]
  F -->|Отклонить| H[Заблокировать и оповестить]