IAM / IdP

Что такое IAM / IdP

IAM расшифровывается как Identity and Access Management — управление идентификацией и доступом. Это дисциплина и класс систем, отвечающие на вопрос «кто, к чему и на каком основании имеет доступ» на протяжении всей жизни учётной записи.

IdP — Identity Provider, провайдер идентификации («идп»). Компонент, который хранит учётные записи, проводит аутентификацию и выдаёт другим сервисам подтверждение личности пользователя. Приложение, доверяющее такому подтверждению, называется SP (Service Provider) или Relying Party.

Соотношение: IdP — это движок аутентификации, IAM — вся система вокруг него, включая процессы выдачи и отзыва прав, ревью доступов и аудит. IdP отвечает «это точно Иванов», IAM — «и вот что Иванову можно, потому что он аналитик, и вот кто это утвердил».

Из чего складывается IAM

Классическая формула — AAA: Authentication (кто вы), Authorization (что вам можно), Accounting (что вы сделали). К ней добавляется жизненный цикл учётной записи, JML:

• Joiner — сотрудник пришёл: завести учётку, выдать базовые роли.
• Mover — перешёл в другой отдел: снять старые права и выдать новые. Здесь ломается почти всё. Права накапливаются, потому что новые выдают охотно, а старые снимать забывают, и через три года у человека доступ ко всей компании.
• Leaver — уволился: отозвать всё, немедленно, везде.

Автоматизация JML — главная причина покупать IAM. Ручное ведение доступов в двадцати системах не работает даже в компании на 50 человек.

SCIM — стандартный протокол для автопровижининга: IAM создаёт и удаляет учётки в подключённых сервисах сам, по событию из кадровой системы.

Смежные термины

• PAM (Privileged Access Management) — отдельный контур для привилегированных учёток: root на серверах, админ БД. Пароли выдаются на время, сессии записываются. Учётка root заслуживает большего, чем строка в общем менеджере паролей.
• SSO — функция поверх IdP: один вход на все сервисы.
• Федерация — доверие между IdP разных организаций, чтобы подрядчик заходил под своей учёткой, а вы не заводили ему свою.

Что такое ADFS

ADFS расшифровывается как Active Directory Federation Services — служба федерации Microsoft. Она надстраивается над Active Directory и превращает доменные учётные записи в федеративную идентификацию: AD сам по себе говорит на Kerberos и LDAP и не умеет в веб-SSO, а ADFS выдаёт SAML-токены, понятные внешним и облачным приложениям.

Роль ADFS — быть мостом между доменом на Windows и веб-миром. Microsoft двигает клиентов в облачный Entra ID, но в локальных инфраструктурах ADFS по-прежнему широко живёт.

Что такое Gatekeeper

Термин перегружен, и три значения не связаны между собой:

Чаще всего в контексте инфраструктуры имеют в виду первый.

Протоколы и продукты

Протоколы: OIDC — для нового веба и мобильных, SAML 2.0 — для корпоративных и legacy-систем, LDAP — для каталога учёток, Kerberos — внутри домена, RADIUS — для сетевого доступа и VPN.

Self-hosted: Keycloak — де-факто стандарт, все протоколы из коробки, федерация с AD/LDAP, бесплатен. Облачные: Okta, Auth0, Entra ID, Google Workspace. Российские: Blitz Identity Provider, Avanpost FAM, Ideco, «Мультифактор».

Практика

• Один источник правды. Учётки живут в IdP, а не по копии в каждом сервисе. Иначе увольнение не отзывает доступ.
• Роли, а не персональные права. Раздача прав напрямую человеку не масштабируется — см. RBAC.
• Минимальные привилегии и регулярное ревью доступов.
• 2FA на IdP, аппаратные ключи для админов.
• IdP — критичный сервис. Он лежит — не работает ничего. Резервирование, health check, мониторинг, отдельная процедура аварийного доступа на случай его недоступности.
• Сервисные учётки — тоже identity.API-ключи и токены CI/CD нуждаются в инвентаризации и ротации не меньше человеческих.

Связанные термины

• SSO — главная функция, ради которой ставят IdP
• Аутентификация — что делает IdP
• RBAC и ACL — как раздаются права после входа
• OAuth — протокол делегирования доступа
• Keycloak — популярный self-hosted IdP
• PDP (Policy Decision Point) — где принимается решение о доступе