身份
将身份视为决定谁可以访问系统、应用程序和管理功能的控制平面。
← 返回项目
身份与访问
身份管理与零信任实验室
一个实践安全实验室，专注于身份作为控制平面：身份验证、授权、条件访问、生命周期管理、特权访问和实用的零信任设计。
Microsoft Entra ID身份和访问管理MFA条件访问RBAC最小特权帐户生命周期Zero Trust
项目概览
开发中- 目的
- 构建一个模拟企业身份环境，重点关注访问控制、MFA、条件访问、特权访问、生命周期管理和零信任原则。
- 我的角色
- 独立进行实验室研究、设计和文档编写。
- 实施状态
- 条件访问、MFA、基于角色的访问场景正在进行中。生命周期工作流程、特权访问和正式访问审查仍在计划中。
- 下一里程碑
- 随着实验室的开发，发布策略导出，其中删除了租户详细信息、角色矩阵以及预期与观察到的访问测试。
实现代码仓库：尚未发布。
证据与结果
作品展示了什么
开发中条件访问、MFA、基于角色的访问场景正在进行中。生命周期工作流程、特权访问和正式访问审查仍在计划中。
用户身份
认证·MFA
条件访问·角色
应用程序访问
已记录的工作
- 案例研究定义了新员工、角色变更、MFA 疲劳和特权管理场景。
- 实验室将正在进行的身份验证工作与计划的生命周期和访问审查练习分开。
下一个要发表的证据
随着实验室的开发，发布策略导出，其中删除了租户详细信息、角色矩阵以及预期与观察到的访问测试。
源链接包含此已发布的案例研究，而不是单独的实施存储库。
概述
为什么身份是第一位的
许多安全决策最终会变成身份决策：谁在请求访问、允许他们访问什么、在什么条件下应授予访问权限，以及访问权限如何随时间变化。
该实验室旨在超越认证理论，将 IAM 概念转化为围绕 MFA、条件访问、角色设计、最小特权、生命周期管理和特权访问的可重复场景。
该项目是有意迭代的。一些控制措施已经在探索中，而另一些控制措施仍在计划中，直到进一步建立支持性的实验室环境和政策。
身份架构
作为生命周期的访问
身份验证
使用 MFA 和更强的身份验证控制来减少对单独密码的依赖。
授权
围绕角色、组和最小权限设计访问权限，而不是直接分配给个人的广泛权限。
生命周期
将访问权限管理为在入职、角色变更、调动和离职过程中发生变化的内容。
实验室工作
我正在建造什么
该实验室是围绕实际身份问题组织的，而不是将每个 Entra ID 功能视为一个孤立的练习。
现状
条件访问、MFA 和基于角色的访问是当前的研究和实验室开发领域。随着环境的成熟，将规划生命周期工作流程、特权访问和正式访问审查。
条件访问
围绕身份验证要求、访问条件、用户上下文、应用程序敏感性和更强的执行构建场景。
MFA 强制执行
研究 MFA 策略如何减少帐户泄露，同时仍然支持实际操作工作流程和用户访问。
基于角色的访问
围绕工作职责对权限进行建模，以便可以通过角色和组而不是直接分配来管理访问权限。
加入者/移动者/离开者
设计可重复的工作流程，用于在用户在组织中移动时配置、修改、审查和删除访问权限。
特权访问
探索如何将管理权限与标准用户访问权限分开并限制为受控工作流程。
访问评论
规划定期审查，以便在职责发生变化时验证权限并删除不必要的访问权限。
Operational Scenarios
Identity Problems in the Real World
最有用的身份练习是反映管理员实际必须解决的问题的练习。
新员工
问题
What access should a new user receive on day one, and who should approve it?
接近
Define access through role-based groups and documented ownership instead of copying another employee's permissions.
角色转变
问题
What happens when an employee changes departments or responsibilities?
接近
Remove access that is no longer required before layering on new permissions so privileges do not accumulate indefinitely.
MFA 疲劳
问题
How should repeated unexpected MFA prompts be treated?
接近
Treat unexpected prompts as a potential identity incident, contain the account, review authentication activity, and validate user behavior.
特权管理
问题
Should everyday user accounts carry administrative privileges?
接近
Separate normal work from privileged administration and reduce standing access wherever practical.
离职
问题
How quickly should access disappear when a user leaves?
接近
Disable identity access promptly, invalidate active sessions where appropriate, remove privileged access, and document completion.
访问漂移
问题
How do permissions become excessive over time?
接近
Use periodic review, ownership, documentation, and role-based assignment to identify and remove accumulated access.
Zero Trust
Verify Access Instead of Assuming Trust
明确验证
使用身份、认证强度、设备上下文、风险和其他可用信号做出访问决策，而不是仅仅依赖位置。
Use Least Privilege
仅提供当前角色所需的权限，并尽可能减少常设管理访问权限。
Assume Breach
设计访问权限，使受威胁的身份或设备不会自动提供跨环境的无限制移动。
“身份不应该回答你是谁。它应该有助于确定你能达到什么、在什么条件下以及能持续多久。”
吸取的教训
What the Lab Is Teaching Me
01
身份安全既涉及身份验证，也涉及生命周期和治理。
02
随着环境的增长，直接分配的权限变得难以查看和删除。
03
MFA 提高了安全性，但策略设计仍然必须考虑用户行为和操作现实。
04
当访问权限具有明确的所有权并与定义的角色相关联时，最小权限效果最佳。
05
文档和访问审查是必要的，因为权限会随着时间的推移而自然变化。
下一步
扩大实验室
01
构建额外的条件访问场景
02
创建加入者、移动者和离开者工作流程
03
文档角色和组设计
04
扩展特权访问测试
05
添加访问审查练习
06
将实验室控制映射到酒店 IT 场景
更多项目