云计算环境下的IAM研究.docVIP

云计算环境下的IAM研究 　　摘要：随着云?算的推广和普及，云安全问题日益凸显，而有效进行用户身份和访问控制管理是保障云服务顺利开展的前提。本文分析云计算平台下IAM（Identity and Access Management，身份和访问控制）的特点和存在问题，调研各大厂商针对问题相应的技术解决方案和目前研究的主要方向，最后对未来研究进行展望。 　　关键词：云安全 身份和访问控制 云计算 　　中图分类号：TP393 文献标识码：A 文章编号：1007-9416（2016）12-0115-02 　　随着移动互联网技术的快速发展，云计算越来越普及，已初步形成规模化产业，而与此同时安全问题日益凸显。2016年9月雅虎爆出史上最严重数据泄露，近5亿用户的账户信息于2014年被盗，而之前，过1亿的LinkedIn成员泄露密码泄露后，Facebook创始人马克?扎克伯格的Twitter账户被黑。在云计算环境下，从用户将数据上传到云服务器开始，就失去了对数据的控制能力，数据是否安全、工作任务是否顺利完成都是未知数，因此有效地进行用户身份和访问控制是保障云服务顺利开展的前提条件。 　　1 IAM 　　IAM是保障合理的访问能顺利进行而非法的访问能被拒绝的主要措施，对于Paas（平台即服务）、Saas（软件即服务）、Iaas（基础设施即服务）任何一种云服务都是不可或缺的。通常IAM会经过认证、授权、访问、数据供应、监控审计等步骤。认证即确认用户的身份，包括不同的云服务提供商、企业内部用户、企业服务对象等；授权分两方面，一方面云服务提供商将自身所提供资源的权限授予给通过认证的用户，另一方面通过认证的用户将自己上传资源的访问权限授予给其他可访问的用户；访问即根据访问控制模型，设定并实施访问策略，对各种数据请求进行审核；数据供应即为通过认证的用户提供数据传输或其它服务；监控审计即对整个服务过程进行实时记录，发现问题及时预警并提出解决方案。 　　2 云计算IAM 　　传统企业信息系统一般部署在企业内部，软件、计算机、网络、交换机都在管理员的完全掌控下，即在可控信任域的范围内，并且可以通过设置防火墙、IDS建立保护屏障，与外界隔离开，在此种情况下进行身份和访问控制管理都相对而言比较简单。但如果将部分数据或业务移动到公有云，保护屏障已失去作用，可控信任域消失，企业对数据资源的控制权缺失；尤其在实时业务中所需资源是动态变化的，使得身份和访问控制更为复杂，具有其自身的特点： 　　2.1 身份供应跨区域，隐私难保护 　　传统企业信息系统的用户身份由人事部门来提供，权限也相应明晰，一旦发生变化可以及时进行同步处理。而在公有云的环境下，对于企业用户而言，云端和企业都需要身份供应，若由企业实现则存在用户认证跨区域的问题，若有云端供应商提供，隐私数据又很难得到保障。而对个人用户而言，由于是多个用户共用软硬件资源，身份信息泄露较为容易，隐私保护难落到实处。 　　2.2 多种认证方式并存 　　传统企业信息系统由于业务资源在可信任区域内部，同时具有防火墙、IDS等的保护，故认证方式多为“用户名+密码”即可满足需求。而在云计算环境下，移动互联网技术广泛运用，人们随时随地都可以通过移动终端接入云端，享受快捷服务，与此同时简单的“用户名+密码”的认证方式远远不够。信息系统至少会有2个工作域，分别是企业本身、云服务提供商。普遍的情况是云服务提供商为企业提供认证服务，而身份认证则会由购买了云服务的企业来进行，不同业务安全级别不同，认证力度也各不相同，强认证、委托认证是常用的手段，这其中可信、可管是关键。 　　2.3 访问授权缺乏通用的模型 　　访问控制模型是访问授权的依据，以往的访问控制模型能否运用到云计算环境下有待于进一步检验。而所提供的云服务IaaS、PaaS和SaaS都有各自的特点，探索何种访问控制模型适用于何种服务有待于进一步深入研究。目前的难点是云端信息、企业相关信息的同步问题。 　　2.4 身份联合 　　云计算环境下，企业业务开展通常会涉及到多个服务提供商，每个厂商都有自己的一套身份供应、认证、授权、访问控制的方式方法，此种情况下，建立统一标准进行身份联合是简化用户访问的有效措施。 　　3 各大厂商的技术解决方案 　　3.1 身份供应策略 　　目前的工业标准是SPML（Service Provisioning Markup Language，服务供应标记语言），用于实现合作企业间信息交换。云服务提供商通过提供SPML适配器、SPML网关来支持SPML。通常情况下，新用户信息通过SAML令牌传递给云服务提供商，而服务提供商从令牌中提取属性信息，建立SPML消息，处理身份供应请求，即将用户信息填入到数据库中去。 　　3.2 身份认证策略