在零信任框架中，标识是基础控制平面。 对设备、应用程序或数据资源的每次访问决策都首先验证用户是谁、其特权是什么以及其上下文是否符合策略。
零信任研讨会中的“身份”支柱可确保组织在所有身份中都符合零信任原则（显式验证、实施最小特权和假设已遭入侵）。 它为实现身份能力现代化提供了按优先级排序且可执行的实施待办事项列表。
标识支柱研讨会指南侧重于评估当前标识状况、识别差距，并定义优先操作以现代化标识控制、降低风险，以及在整个环境中实现安全、无缝访问。
研讨会实施
标识研讨会涵盖表中汇总的实现区域。
| Area | 详细信息 |
|---|---|
| 盘点并了解身份资产 | 编译用户、应用程序、服务主体、组和标识属性的完整清单。 分配所有权、定义责任，并对关键标识资产进行分类，以跨标识资产建立治理和可见性。 |
| 建立强大的条件访问基础 | 实施全面的条件访问策略，持续评估标识、设备状态、风险信号和会话上下文。 跨用户、应用程序和方案定义并强制实施一致的访问策略，包括员工、来宾和旧访问路径。 |
| 现代化身份验证并消除旧协议 | 在所有应用程序和服务中标准化新式身份验证。 消除旧式身份验证方法并将现有系统迁移到安全、基于标准的身份验证协议，以减少对基于凭据的攻击的暴露。 |
| 转换应用程序和标识基础结构 | 通过将应用程序迁移到基于Microsoft Entra ID的身份验证和单一登录（SSO）来减少对本地标识系统的依赖项。 停用旧版联合身份验证和 Web 访问管理基础结构。 现代化应用程序访问模式以支持零信任。 |
| 强制实施最低特权和基于角色的访问 | 使用基于角色的访问控制（RBAC）和访问包根据作业功能分配访问权限。 定义角色模型、强制实施最低特权，并通过访问评审和基于策略的治理持续验证访问权限，以确保用户仅拥有所需的权限。 |
| 保护特权标识和工作负荷标识 | 使用即时访问、特权身份管理 (PIM)、强身份验证和强化的访问路径来保护管理帐户和高风险帐户的安全。 将治理和保护扩展到工作负载标识和服务主体，以降低权限过高或未受管理的标识带来的风险。 |
| 建立标识数据管理和预配流 | 定义跨系统权威标识数据源、属性架构和数据流。 实现预配管道和连接器，以确保标识数据在应用程序和服务之间保持一致、准确且可靠同步。 |
| 实现身份生命周期和预配自动化 | 在 HR 平台等权威系统中实施自动化预配和生命周期工作流（入职、异动、离职）。 通过监视和验证预配过程，确保根据生命周期事件自动授予、更新和删除访问权限。 |
| 使用无密码身份验证增强凭据安全性 | 通过实施密码保护和部署防钓鱼、无密码身份验证方法（例如 FIDO2、Windows Hello 企业版 和Microsoft Authenticator），减少对密码的依赖。 在整个组织中推动采用强身份验证方法。 |
| 治理外部和合作伙伴标识 | 为外部用户和合作伙伴组织建立受控的载入、访问分配和生命周期流程。 实施访问包、赞助模型和监视，以确保外部标识得到适当的治理，并与组织策略保持一致。 |
| 清理和修正现有访问 | 识别和修正过度特权帐户、未使用的标识和过时的组成员身份。 进行访问评审并实施正在进行的治理过程，以保持最低特权并随着时间的推移减少累积的标识风险。 |
| 启用标识安全监视和响应 （SecOps） | 通过整合身份保护、威胁检测和集中式日志记录，将身份信号纳入安全运营。 使用安全分析和运营手册监视身份运行状况、检测可疑活动，并调查和响应基于身份的威胁。 |
评估身份
零信任评估工具可以根据一系列安全最佳做法评估标识配置。 了解详细信息。