身份验证与授权：有什么区别？

在组织的身份和访问管理 (IAM) 系统中，身份验证和授权是相关但不同的过程。身份验证可验证用户的身份。授权可让用户获得对系统资源的适当访问级别。

身份验证过程依赖于用户提供的凭证（例如密码或指纹扫描），以证明他们是其所声称的身份。

授权过程依赖于用户权限，这些权限规定了每个用户可以在特定资源或网络中执行的操作。例如，文件系统中的权限可能规定用户是否可以创建、读取、更新或删除文件。

身份验证和授权流程适用于人类和非人类用户，例如设备、自动化工作负载和 Web 应用。单个 IAM 系统可能同时处理身份验证和授权，或者这些流程可能由协同工作的独立系统处理。

身份验证通常是授权的先决条件。系统必须知道用户是谁，然后才能授予该用户访问权限。

基于身份的攻击正在增多，黑客通过这种攻击劫持有效用户账户并滥用其访问权限。据 IBM 称 X-Force® 威胁情报指数，这些攻击是威胁行为者潜入网络的最常见方式，占所有网络攻击的30％。

身份验证和授权协同工作，以实施安全访问控制并阻止数据泄露。强大的身份验证流程使黑客更难接管用户帐户。强大的授权限制了黑客利用这些帐户造成的损害。

了解身份验证

身份验证（有时缩写为“authn”）基于用户凭证的交换，也称为 认证因素. 身份验证因素是证明用户身份的证据。

当用户首次在系统中注册时，他们会建立一组身份验证因素。当用户登录时，他们会提供这些因素。系统会将提供的因素与文件中的因素进行核对。如果匹配，系统就会相信用户就是他们声称的那个人。

常见的身份验证因素类型包括：

各个应用和资源可以拥有自己的身份验证系统。许多组织使用一个集成系统，例如单点登录 (SSO) 解决方案，用户只需进行一次身份验证即可访问安全域中的多个资源。

常见的认证标准包括 安全断言标记语言 (SAML) 和 OpenID 连接 (OIDC)。SAML 使用 XML 消息在系统之间共享身份验证信息，而 OIDC 使用称为“ID 令牌”的 JSON Web 令牌 (JWT)。

单因素身份验证 (SFA) 需要一个身份验证因素来证明用户身份。提供用户名和密码登录社交媒体网站是 SFA 的典型示例。
多因素身份验证 （外交部） 需要至少两种不同类型的身份验证因素，例如密码（知识因素）和指纹扫描（固有因素）。
双重身份验证 （双重认证） 是一种特定类型的 MFA，只需要两个因素。大多数互联网用户都经历过 2FA，例如当银行应用程序需要密码和发送到用户手机的一次性代码时。
无密码身份验证 方法不使用密码或任何知识因素。无密码系统已成为一种流行的防御手段，用于防范凭证窃贼，他们瞄准知识因素，因为它们最容易被窃取。
自适应身份验证 系统使用人工智能和机器学习根据用户行为的风险程度调整身份验证要求。例如，试图访问机密数据的用户可能需要提供多个身份验证因素，然后系统才能验证它们。

了解 IBM 的身份和安全专家如何帮助简化 IAM 工作、管理混合云环境中的解决方案并转变治理工作流程。

授权（有时缩写为“authz”）基于用户权限。权限是一种策略，详细说明用户可以访问哪些内容以及他们可以利用该权限在系统中执行哪些操作。

管理员和安全主管通常会定义用户权限，然后由授权系统强制执行。当用户尝试访问资源或执行操作时，授权系统会先检查其权限，然后才允许他们继续操作。

考虑一个包含客户记录的敏感数据库。授权决定用户是否可以查看此数据库。如果可以，授权还决定他们可以在数据库中执行的操作。他们只能读取条目，还是也可以创建、删除和更新条目？

OAuth 2.0是使用访问令牌将权限委托给用户的常见授权协议之一。OAuth 允许应用程序相互共享数据。例如，OAuth 允许社交媒体网站扫描用户的电子邮件联系人，查找用户可能认识的人（前提是用户同意）。

基于角色的访问控制 (RBAC) 方法根据用户的角色确定用户的访问权限。例如，初级安全分析师可能能够查看防火墙配置但不能更改它们，而网络安全主管可能拥有完全的管理访问权限。
基于属性的访问控制 (ABAC) 方法使用用户、对象和操作的属性（例如用户名、资源类型和时间）来确定访问级别。当用户尝试访问资源时，ABAC 系统会分析所有相关属性，并且只有在满足某些预定义条件时才授予访问权限。例如，在 ABAC 系统中，用户可能只能在工作时间访问敏感数据，并且只有他们拥有一定级别的资历。
强制访问控制（MAC） 系统对所有用户实施集中定义的访问控制策略。MAC 系统不如 RBAC 和 ABAC 精细，访问通常基于设置的许可级别或信任分数。许多操作系统使用 MAC 来控制程序对敏感系统资源的访问。
自主访问控制 (DAC) 系统允许资源所有者为这些资源设置自己的访问控制规则。DAC 比 MAC 的统一策略更灵活。