【视频】企业级身份安全保障｜学习笔记（二）

开发者学堂课程【IDaaS企业身份管理：【视频】企业级身份安全保障】学习笔记，与课程紧密联系，让用户快速学习知识。  

课程地址：https://developer.aliyun.com/learning/course/980/detail/14912

【视频】企业级身份安全保障

2. 管理控制台操作风控的必要性

很多产品在进行访问控制的时候，更多聚焦在用户侧的登录，因为用户测试是更容易出现风险的那一部分，管理侧相对而言是风险出现的概率更小一些的部分。因为管理员的身份一般比较可控，不会过多的传导出去。但是一旦管理侧出现了问题，这个问题远远会比用户侧更严重更大。因为管理侧在整个控制台中可以进行的操作是非常多元化的，所以在怎么样去确保企业的生存安全性的时候，阿里云在管理侧也叠加了风控体系，这个叠加的风控体系和当前用户侧的二次认证是非常类似，也是需要进行一次短信验证码的校验。短信验证码是需要阿里云当前账号的拥有者，发送手机短信到管理员拥有者手机。这样好处是预定了一些敏感的行为，这些敏感行为都会对当前系统造成影响的，如果不是一个正常操作的话，那么造成严重影响操作的时候，所有的管理者都需要去申请这个账号拥有者，即主管理员，获准后才可以继续进行对应的操作。这样就把权限彻底的进行了一个收口，只有当企业拥有者或者主管理员认可了当前这次执行的时候，所有的下游系统才可以继续执行。也并不是说所有的业务每一次执行都需要去进行一个风控，风控本身也有一个窗口期，在当前已经进行了一次管理主管理员的这个验证之后，后续的一系列的操作是不需要进行主管理员的干预，所以能体现得出来，阿里云本身也是安全为先的这样的一个设计理念。同时还希望尽可能的兼顾，不要过多的阻拦一个正常的用户的使用和访问请求。我们在里面预制了大概十几处不同的这个风控的埋点，绝大部分的删除操作可能都需要用户，需要管理员去寻找主管理员的验证码，之后才能继续的进行操作。

2、实操展示

现在创建出一个新的应用，如果创建成功后，需要进行删除操作的话，就需要手机验证码。即使本人就是此账号的主管理员，还是需要手机验证码。

如果再次进行删除文件的操作的时候，就不需要再次进行二次身份的验证，就相当于已经拥有了当前账户的管理者使用权，上述为对于管理侧风控预测的一套操作体系。

四、举例三——应用默认手动授权

使用IDaaS进行企业身份管理，除了SSO带来的便捷和安全性，另一大核心价值，是由统一分配权限管理带来的。当所有访问均通过IDaaS 进行SSO，就可以非常方便地在IDaaS中分配应用访问权限。

阿里云 IDaaS 默认所有应用均 需要手动进行授权。

新创建出来的应用，在管理员明确其授权范围前，无人可以访问。以最小权限原则，避免应用访问权限的泛滥问题。

与此同时，应用授权菜单就在旁边，授权便捷性可以得到保障。

1.介绍

3. 应用上面的授权管理，会看到有很多一些外部厂商或者外部的考量可能会在开始应用创建的时候，默认所有的应用和所有的账户都可以访问某个特定的应用，这是为了演示或者测试流程更加顺利。这样默认设置的规则，很明显把这个权限长头长得太过开放，所以默认会把所有的这些需要去收口的应用，全部都需要去进行手动操作这个指令，本身的这个授权便捷性在这个基础上就变得非常关键。

4. 实操展示

在应用管理这一侧，创建出一个应用后，默认会处于一个手动授权的状态，直接到应用授权这里添加授权主体即可，所有的操作都会在这一个大菜单下全部都去进行完成。来回切换会变得非常方便，可以进行统一的管理的管控。

十一、

五、举例四——密码策略安全性

当不得不使用密码登录时，密码的安全策略就派上了用场。

IDaaS默认支持密码登录，为了保障登录的基本安全性，我们推荐了一系列较为通用的安全配置，作为实例初始化默认配置。

我们默认一套相对 安全性较高的复杂度配置，以尽可能为身份安全提供高标准、高规范。默认的复杂度为：

• 最少10位

• 必须包含大写字母

• 必须包含小写字母

• 必须包含数字

• 必须包含特殊字符

• 不能包含账户名。

1. 可以对此策略进行调整，以达成业务需求和安全性之间的平衡。

2. 介绍

3. 密码的功能过去给客户带来一个困扰，很多客户在实际使用一些应用的时候，并不知道到什么样的复杂度是合理的，或者合适的。企业更多的是处于一种他想要一套安全的系统，可能就把所有的东西尽可能能打开。但是可能会给用户造成非常大的困扰，所以在一套比较灵活的安全的基础上，同时做的两件事，第一件事是整个实例默认的推荐配置，它的安全性相对而言是比较高的，即推荐配置。但是在一些特定场景中，如果希望能够把这个配置调高或者降低的话，给他预设定了模板。它可以基于这些模板去进行操作，这样的话它就可能不需要理解过多的细节。不需要一项一项去选，一项一项去勾。也不需要跟安全部门的人去过多提前确认，那么才可以有一个基本的这个心理保障。

4. 实操展示

在登录密码侧处，会看到设置了五个模板：

密码侧里面会看到预设定了五个复杂度模板，推荐模板就是我们当前看到的，这个也是整个实例初始化的时候，默认会带着字段字符数的这个密码:最短的长度必须包含大写，小写数字和一个特殊字符，而且不能包含当前他的用户名信息。需要更高安全性的一个金融企业，可以点击高复杂，它会自己直接默认的一套更高复杂度代表更高安全性的这个配置直接给配置好，然后在这个基础上可以去进行调整，那么假设现在用的这套东西是一套相对封闭的相对老旧的东西，没有那么多的这个窗口，不需要那么高端全进。那么可以直接走到第一步的密码长度六位必须包含一个大写字母，一个数字。在一个绿色一定的安全性的基础上啊，提供了一系列相对比较便捷的方式，能够允许客户尽可能的傻瓜化的去进行安全相关的这一系列的配置。

六、举例五——默认签名、默认加密

在进行跨域请求时，无论是否使用HTTPS，都无法100% 真正保

障跨域请求在网络传输中的安全性。

为了达到真正端到端的安全防护，IDaaS在全局采用HTTPS的基

础上，额外提供了业务层面的“签名层”和“加密层”，默认开启。

签名层：在进行跨域请求时，对请求内容使用私钥进行签名，允许

接收方使用公钥验证信息，确保信息在传输过程中不被篡改。在部

分SSO场景、出方向账户同步场景中使用。

加密层：支持同步信息的端对端加解密，默认加密后同步数据，且

默认不同步密码信息，避免疏漏操作导致的信息泄露。未来会支持

SAML SSO全过程加密，让 SSO达到金融级、政务级的高级别安

全要求。

1.介绍

在和外界去进行交互的时候，会有签名和加密的机制，这个机制很大程度上是没有办法通过其他的这些设计提高它的便捷性，因为在很多的这个业务场景中，它是一个必须的配置。整个的网络访问通过这个sso隧道通过GPS访问去请求对方的接口，或者通过636端口去和腰带去进行沟通，本身会确保网络传输过程中的一定的安全性。在此基础上，肯定会有部分客户没有使用或者没有使用比较安全的方式方法，那么会默认去把所有的这些数据，只要传递出去，全部都进行这个签名，所有的传输出去的数据主体里面都会有一个签名信息，签名信永远会存在的。而且不提供关闭的功能，在此基础上会有一个默认加密的能力，这个默认是可以关掉的，取决客户自己的一个网络安全状态以及如何去处理这一部分的信息。举个例子，在进行同步的时候，初创向同步到一些应用，在进行这个同步配置的时候，业务数据的加密是默认勾选上的，同步密码信息是默认没有勾选。代表着我们对于初始状态的一个安全性的一个建议，本身可以随机生成，也可以去自动上传，那么随机生成的长度和安全性也是可以得到一定的保障。

2.实操展示

来到应用，创建应用后，在账户同步里面，会有一系列的配置。在配置过程中，默认是进行加密，以及默认并不同步密码，并且所有的回调事件都需要手动勾选。

那么在这个过程中，虽然需要用户填写的只有他的同步接收地址信息，并且按照我们提供的文档去完成这些信息的接收以及这个验签解密等等，但是实际对于安全的角度而言，在权限控制和传输的内容上面都下了一些特定的功夫，尽可能确保这次请求的安全性。