【视频】企业级身份安全保障｜学习笔记（一）

开发者学堂课程【IDaaS企业身份管理：【视频】企业级身份安全保障】学习笔记，与课程紧密联系，让用户快速学习知识。  

课程地址：https://developer.aliyun.com/learning/course/980/detail/14912

【视频】企业级身份安全保障

内容介绍：

一、企业身份安全的重要性

二、举例一：默认开启二次认证

三、举例二：管理控制台操作风控

四、举例三——应用默认手动授权

五、举例四——密码策略安全性

六、举例五——默认签名、默认加密

一、企业身份安全的重要性

企业去统筹自己安全体系的时候，肯定不是从一个单一产品的维度出发，包括国家的担保或者一些外国的等级安全机制，或者安全保障及合规性的保障，都是从企业的整套IP架构开始，即从最底层开始。每一个层级，每一个环节，从产品的功能的合规程度到它的存储到和网络环境，以及人员培训，再到储存和备份，这一系列都在整个的安全架构的控制范围内。虽然身份安全是所有的安全中的一个细分项，但是身份安全本身也是从上到下，贯通了一系列可能会出现问题的点。无论哪一个产品都无法去通过仅仅使用这款产品就能解决整个企业所有的身份权问题。但是作为一个产品要提供一系列的最基本的灵活的安全能力，让企业能够在他们需要的时候提供支持。那么作为中国整个企业身份领域的一个先驱，我们也一直在致力于让更多的企业及客户能够通过使用我们的产品把安全性提高，从而提高整个社会及整个商业世界运转的安全性，保障身份安全。身份安全本身是一个在安全领域很聚焦的一个点，它比较窄，但是它承接的攻击面和它能造成的这个伤害是非常高的，也是过去几年相对而言更常见的一种安全问题。这节课以IDaas的一些安全能力作为基础进行介绍。很多安全能力是在隐形的，例如数据库到底是怎么保证安全性？有很多能力是依赖于整个阿里云IDaas的架构，例如在服务器里面去搭建最基本的画符和高防低道的服务，去确保整体的公共云服务是稳定可用、稳定高效的。

二、举例一：默认开启二次认证

使用密码虽然有难以克服的安全隐患，但由于其方便用、好实现，仍然是大量应用的主要身份验证方式之一。

二次认证是针对密码认证场景的最直接的安全兜底方式。当进行了密码登录后，还需要额外进行一次短信/邮箱验证，才能访问服务。

为了保障企业的账号安全，IDaaS 实例默认开启二次认证，所有账户访问应用，均需要进行二次认证，确认身份无误后，才能放行。

因此，所有接入IDaaS SSO的应用，即刻受到IDaaS二次认证的安全保障。

高级：智能模式

同时，为了避免多次登录时反复二次认证的麻烦，IDaaS 默认开启【智能模式】。【智能模式】将综合当前设备访问环境和账户状况，判断当前是否需要二次认证。

若您正常办公，可能很多天都无需二次认证，IDaaS 以此保障安全登录的易用性。

1.

2. 诉求

3. 此案例是对二次认证或者开启二次认证，通过举多个例子能清晰的看到在整个设计过程中一些功能提供的过程中，依赖怎样的制度，用一个怎样的理念去进行。这个理念默认为安全理念。IDaas致力于提供一个尽可能开箱就能达到一定的安全水位的一款产品，在安全和便捷性产生一些不可调和的冲突的时候，会优先选择安全的基础上，再变通的去尽可能的提供一些便捷性操作。或者设计出能够尽可能同时的满足这两个需求的产品。所以会看到设计很多的功能都是依赖于这样的路径。二次认证功能是基本上的厂商都会做的一件事。有很多的应用接入到IDaas中，目的是为了能够使用上一个比较完整的二次认证的体验，因为可能出于合规性要求，不能通过一次认证到应用中，而是需要二次认证。这是一个非常明确的诉求。

4. 二次认证的必要性

5. 阿里云应该是第一个默认开启二次认证的平台，绝大部分厂商为了一个使用的便捷性，默认是不开启二次认证的，但是从阿里云的角度出发，作为一个企业的正常运转的过程而言，如果把所有的访问控制入口以及所有的应用的入口，登录模式全部都收束到IDaas这一点，如果阿里云不默认开启二次认证的话，那么基本上把所有的应用的这些弱点和问题全部都集中到IDaas这一点，会有一个集中性的爆发。也就没有给企业带来任何的额外完全价值。所以阿里云默认会开启一个二次认证。

6. 智能模式

7. 但如果每次都要进行二次认证的话，那么很快会产生一个二次认证的疲劳，整个过程比较冗杂和繁琐，需要等待。所以阿里云提供了一个默认的高级模式即智能模式。在智能模式里，有一些规则和算法，把用户当前的访问状况计算出评分，通过这个评分去判断当前这个用户是否应该去进行二次审证，从而进行绝大部分安全访问的时候啊，符合二次认证这个功能的规定。所以在这个情况下，同时兼顾了企业和企业级用户的安全性，又兼顾了用户每一天访问的那些应用的便捷性。

8. 实际效果展示

来到产品详情页，点击前往控制台，点击用户门户的登录链接，输入账号密码，会弹出一个强制的二次认证：

初始化进行登录，必须进行二次认证。在登录的功能处，有一个控制界面，可以选择是常开还是智能模式，如果知道自己当前是怎么样的使用情况，可以自行选择。

进行二次认证登陆成功之后，如果又主动退出，那么下次在进行登陆的时候，仍需要进行二次认证。主动退出会被认为当前使用的是公共电脑。如果用户一直处于正常使用状态，而是因为登陆时间过长而实效，在这种情况下不会触发二次认证。

接下来是实操：设置登录时长为1分钟：

四、

进行再次登录，下次尝试访问，会提示进行二次认证，此时保持登录态一分钟，一分钟过后，下次在尝试访问，会处于一个默认退出的状态，再次登录的时候就无须进行二次认证。

三、举例二：管理控制台操作风控

管理员的操作拥有比用户操作远远更大的权限。一旦管理员账户被盗用，其恶意行为将造成远远更大的负面影响。当子管理员进行一些影响面较大的敏感操作时，也应该由负责人确认后进行，以此保障局面可控，流程合规。

阿里云 IDaaS 为管理侧关键管理操作，利用阿里云多年沉淀的风控体系，判断当前管理者的账号状态和访问环境。一旦操作风险超过阔值，将会触发风控验证，需要阿里云账号绑定的手机号进行 二次认证。

当风险未超过阚值时，操作将不受影响。

IDaaS在如下操作中预置了风控埋点，覆盖了对访问、对开发、对数据最敏感的一些场景。

• 删除实例

• 批量删除账户

• 删除应用

• 秘钥轮转

1. • ...等十余类类操作