Least privilege
根据角色、Workload 或资源范围精准授予所需权限。
总览
网络边界安全已无法满足现代 Cloud 环境的需求。
应用程序、pipeline、用户和自动化系统都需要访问 Cloud 资源。IAM 以身份为核心，帮助企业遵循最小权限原则控制权限，并在角色变更时快速回收权限。
Identity-first security 云基础设施。
通过基于身份的访问权限、清晰明确的 policy 以及面向运维团队的完整日志保护资源。
1
面向所有 Cloud 资源的权限管理平台
Zero
减少散落在 code、pipeline 和 workstation 中的 credential
SSO
连接企业现有的身份提供商
Audit
跟踪访问、审核权限与策略变更
Centralized control
通过统一控制层管理用户、组、policy 和 service account。
Traceable access
维护访问日志以支持调查、合规和安全运营。
企业为何需要IAM
在基础设施和团队规模扩大时，降低越权访问风险。
IAM 规范化访问控制，减少分散的凭证，并提供安全审查所需的数据。
阻止未授权访问
仅经过身份验证并获得明确授权的身份，方可对关键 Cloud 资源进行操作。
简化用户生命周期
一次为整个团队更新策略，加快人员入职、角色变更和离职流程
满足治理与合规要求
所有重要访问决策均有日志记录，支持审计追踪、安全审查和内部检查。
通过 SSO 消除分散的凭据
连接企业身份系统，使员工能够使用现有身份验证信息登录。
核心功能
全面管控身份、权限和访问决策。
四个功能组涵盖Cloud平台上身份管理和访问控制的完整生命周期。
Users & Groups
按组或角色组织用户并配置权限
创建与管理账户关联的 IAM user，按部门或角色将用户归入 group。为 group 分配 policy，使权限统一应用于所有成员。
Policy Engine
为每项资源定义细粒度访问规则
采用 JSON 格式编写 policy，具有明确的 allow 或 deny 语句，按特定操作、服务和资源进行限制，实现精确权限控制。
Service Account
为应用和pipeline分配专用安全身份
为CI/CD、自动化脚本或Kubernetes工作负载创建机器身份。每个service account都具有最小权限，其密钥可以独立轮换。
Federation
允许员工使用现有身份登录
通过SAML 2.0连接外部身份提供商。联邦用户按最小权限原则进行配置，仅在被分配时才获得权限。
实际应用案例
适用于企业团队、pipeline 和系统。
IAM 在部署后立即体现价值的应用场景。
Onboard 大型开发团队
按 Engineering、Finance 或 Operations 创建 group，为每个组分配最小权限，并在人力资源变动时更新成员。
CI/CD和Kubernetes工作负载安全
为每个 pipeline 或 cluster 分配独立的 service account 并限定权限范围，避免在源代码中使用个人 credential。
面向全企业部署 SSO
将登录流同步到现有身份定义系统，减少密码蔓延并从一个集中位置进行访问控制。
自信通过安全审计
跟踪登录、权限检查、资源访问和 policy 变更，以用于安全审查和 audit trail。
FAQs
关于 IAM 的常见问题。
为 Cloud 环境规范访问控制前需掌握的要项。
什么是 IAM？
IAM 是身份管理与访问权限控制层，帮助企业控制谁有权对 Cloud 资源执行操作、允许执行哪些操作以及在何种范围内操作。
IAM能替代Firewall或Security group吗？
否。Firewall 和 Security group 在网络层提供保护，而 IAM 则按身份和权限进行控制。这两层应结合使用，以提高安全级别。
Service account 适用于哪些场景？
Service account 适用于 pipeline、自动化脚本、应用或 Workload 需要调用 API 但不使用员工个人账户的场景。
企业可以部署 SSO 吗？
是。IAM 支持通过 SAML 2.0 联合身份认证以连接企业身份提供商并减少分散凭证。
Identity & Access Management
联系我们进行咨询
贵企业是否有具体的访问控制需求？
我们的专家团队可就 IAM 模型、权限分组、service account、SSO 和符合您实际基础设施的审计日志提供咨询。
