Keeper IAM 词汇表

这是 Active Directory (AD) 的一个补充工具，可将本地身份扩展到云应用；类似于 Web 应用 SSO 工具，不过是在本地而非云端使用。与 Microsoft Entra ID (Azure AD) 一样，AD FS 不是用于取代 Active Directory，而是与之结合使用的工具。

IT 管理员授予和限制用户对特定系统和数据的访问权限的流程。通常，这是通过为工作角色、部门和/或项目团队设置组，然后将用户分配到适当的组来完成。可与身份管理结合使用。

这是一个权限列表，指定哪些用户或系统被授予或拒绝访问特定系统资源的权限，以及可以对这些资源执行哪些操作。

Active Directory (AD) 是 Microsoft 为 Windows 域网络开发的一种目录服务。最初，AD 仅用于集中式域管理，但现在已成为一个总括术语，指代各种基于目录的身份服务。它允许组织使用每个用户的单一身份管理多个本地基础设施组件和系统。不要与 Microsoft Entra ID 混淆，后者是与 AD 结合使用的一个工具。

由于组织的 Active Directory 控制着所有系统访问，因此有效的 Active Directory 安全对于保护整个数据环境至关重要。

自适应多因素身份验证（也称为自适应身份验证或基于风险的身份验证）会根据特定登录尝试的风险等级，动态调整对用户的身份验证要求。它会实时评估设备类型、位置、IP 地址及用户行为等因素。例如，用户从熟悉的设备登录时可能仅需输入密码，而从新设备或陌生地点访问时，则可能需要安全问题验证或生物识别等额外验证步骤。

这是用于向 API 验证用户、开发人员或应用身份的唯一标识符。通常包括对 API 的一组访问权限。

一组定义和协议，允许不同的软件应用相互通信。例如，天气应用可使用政府气象局的 API 来显示天气数据。大多数现代网站和应用或多或少都使用了一些第三方 API。

有四种不同类型的 API：

公共 API，任何人都可以使用，但某些公共 API 需要事先授权和/或使用费。

私有 API，顾名思义：私有。它们属于组织内部，仅在内部使用。

合作伙伴 API，类似于私有 API。它们只能由经授权的外部业务合作伙伴使用，以促进业务之间的应用和交易。

复合 API，这是两种或多种 API 类型的组合。

证明是指某事的根据或证据。FIDO 2.0 安全规范集使用证明向信赖方提供身份验证器模型的密码验证，然后信赖方可以从中推导出身份验证器的安全特征。

在 FIDO 2.0 中，证明语句绑定至上下文数据。当签名请求从服务器传递给身份验证器时，将观察并添加数据。为了验证签名，服务器会根据预期值检查所收到的数据。

确保用户是其声称的身份。请参阅身份管理。

确保用户被授权访问特定系统和数据。请参阅访问管理。

一个人独特的身体特征，例如指纹、虹膜扫描和面部识别，用于用户身份验证和访问控制。

一种自动化攻击，威胁行为者使用脚本提交大量的密码或密码短语，系统地检查所有可能的组合，直到找到一组有效的凭据。

业务流程自动化 (BPA) 是指自动执行重复或手动任务以提高组织效率的软件。BPA 的示例包括自动响应客户操作，例如订单确认和自助式密码重置 (SSPR)。

“城堡与护城河”是一种安全模型，专注于通过边界防御阻截外部威胁，以保护组织的数据；它信任进入网络后的内部访问，对内部用户的安全控制措施较少。

作为 FIDO2 规范集的一个关键组成部分，客户端到身份验证器协议 (CTAP) 使外部身份验证器（例如智能手机或安全密钥）能够与支持 WebAuthn 的浏览器配合使用，并充当 Web 服务和桌面应用的身份验证器。

CIEM 是一种安全流程，可帮助安全团队在云和多云环境中管理和治理身份、权限和授权。CIEM 的目标是通过识别和修复过多或错误配置的权限来降低风险，确保每个身份都在最小特权原则 (PoLP) 下运行。

安全信息与事件管理 (SIEM) 是一种软件平台，可从组织的整个 IT 环境中收集安全数据，并向安全团队发出潜在威胁警报。它从多种来源提取数据，为团队提供跨网络、服务器、终端和应用程序活动的统一视图。通过实时关联这些数据，SIEM 可帮助组织更快地检测和响应威胁，同时支持合规工作。

亦称为云安全。这是一个总括术语，涵盖用于保护云端存储和使用的数据、应用和服务以及底层云基础设施的策略、程序、控制和工具。

通常，公共云服务采用责任分担模式运行，其中云服务提供商负责云端*的*安全，而购买服务的组织负责云端*内*的安全。这意味着云服务提供商保护底层基础设施，包括物理数据中心以及其中的所有服务器和设备，而组织则保护其云部署内的数据和工作负载。

一种基于云的服务，为其他基于云的服务提供 IAM 解决方案。

云安全态势管理 (CSPM) 支持组织持续监控并修正跨云环境中的配置错误。CSPM 提供云资产的全面可见性，助力组织推行安全最佳实践并满足合规要求。它能自动检测暴露存储等风险，并支持跨多云及混合云环境的修正操作。

云原生应用防护平台 (CNAPP) 是一种统一安全解决方案，旨在为云原生应用程序提供从开发到生产的全生命周期安全防护。通过整合 CSPM、CWPP、CIEM 等工具，CNAPP 可提供全维度可见性，并对云配置与身份统一落实安全策略。CNAPP 助力组织在开发流程中更早嵌入安全能力，减少多云环境中的漏洞风险。

系统在会话期间监视用户行为，将其与基线进行比较，查看是否有异常，并在检测到异常行为时要求用户重新进行身份验证的过程。

一种利用许多人在多个帐户上使用相同登录凭据这一事实的攻击。在撞库攻击中，一旦威胁行为者成功地从一个站点获得了一组有效的登录凭据，他们就会试图在尽可能多的站点上使用这些凭据。

组织管理客户身份和访问级别的流程。本质上是 IAM 的一个子类型，仅指客户，而不是内部用户或业务合作伙伴。

纵深防御 (DiD) 是一种多层网络安全方法，每层都侧重于不同类型的安全，以创建针对网络威胁的全面而强大的防御。其理念是，如果一层失效，下一层仍可阻碍威胁行为者。DiD 策略中最常见的元素包括防病毒软件、网络安全工具和控件、IAM 解决方案以及数据丢失防护解决方案。

当某位员工不再需要访问组织的系统或应用程序时，将其访问权限从这些资源中移除的过程。

DevOps 安全，亦称为 DevSecOps，是一种应用安全实践，旨在进行“安全左移”，即尽早将其引入软件开发生命周期 (SDLC)，以构建安全的应用。此外，与 DevOps 一样，DevSecOps 打破了组织的孤岛，在整个 SDLC 中增强了开发、运营和安全团队之间的沟通和协作。

可发现凭据，亦称常驻密钥，使 WebAuthn API 能够提供高可信度多步验证和无密码登录体验。

在“传统”身份验证设置中，用户的凭据存储在信赖方的服务器上。这使得服务器必须先将凭据返回给身份验证器，然后身份验证器才能解密和使用它们。此外，用户必须输入用户名（通常还要密码）来验证其身份。

在可发现凭据设置中，用户的私钥和关联元数据是存储在身份验证器上，而不是信赖方的服务器上。在初始注册过程中，信赖方的服务器会生成一个包含唯一标识符的用户句柄。此用户句柄及私钥均存储在身份验证器上。

然后，在身份验证过程中，身份验证器返回用户句柄，并允许服务器查找关联的用户，而不是用户必须输入其用户名才能登录。如果身份验证器还支持 PIN 码或生物特征验证，则信赖方可在单个登录步骤中得到高可信度多步验证，而无需传输任何密码。

EDR 解决方案有时亦称为端点威胁检测和响应 (ETDR)，是一种集成的端点安全工具，可将实时持续监视和端点数据收集与基于规则的自动响应和分析相结合。EDR 解决方案可监视所有端点活动，对其进行分析以识别威胁模式，自动响应以消除或遏制已识别的威胁，并通知人类安全人员。EDR 系统的目标是实时识别威胁，尽可能自动缓解或遏制威胁，并便于相关人员快速响应。

端点保护平台 (EPP) 是一种集成解决方案，可检测端点设备上的恶意活动，并保护其免受未授权访问、网络钓鱼和基于文件的恶意软件攻击。现代 EPP 通常基于云，其中一些包含个人防火墙、数据保护和数据丢失防护功能、设备控制以及与漏洞、补丁和配置管理解决方案的集成。

端点是连接到计算机网络的物理设备。该术语通常用于描述通过网络进行数据交换的点或接入点。端点可以是单个设备，如智能手机、平板电脑和计算机，也可以是服务器上的软件应用程序，如网络服务 API。

端点特权管理将应用控制与最低特权访问相结合，以确保用户仅运行具有最低特权的受信任应用。

在过去，组织内的网络访问分为两大类：标准用户和管理员。在当今高度复杂的分布式数据环境中，这远不足以抵御与凭据相关的网络攻击。端点特权管理可控制用户访问级别，以便将管理特权授予尽可能少的用户。除了防范内部威胁外，端点特权管理还可限制在外部威胁行为者获得泄露的一组有效用户凭据后在网络中横向移动的能力。

企业密码管理器是一种核心安全工具，构成组织整体安全体系及身份与访问管理（IAM）战略的基础组成部分。与个人密码管理器类似，企业级解决方案同样可生成高强度密码，并提供安全凭证库用于存储。但其更进一步提供专为企业设计的高级安全功能，包括用户开通与停用的集中式管理面板、细粒度权限控制以及共享凭证管理能力。

联合身份管理（FIM）使用户能够使用同一组登录凭证，访问不同组织下的多个应用或系统。FIM 通过在身份提供者（IdP）与服务提供商之间建立信任，实现跨域无缝认证。许多组织将 FIM 与单点登录（SSO）结合使用，以优化身份和访问管理（IAM）并提升安全性。虽然 FIM 和 SSO 都简化了访问，但 FIM 将身份验证扩展到联合组织，而 SSO 则适用于单个组织。

FIDO 联盟制定开放认证标准，以消除对密码的依赖并提升安全性。其现代标准，主要是 FIDO2 和 WebAuthn，实现跨设备与平台的防钓鱼无密码认证。早期协议，如 U2F 和 UAF，现被视为旧版协议，但仍保留以支持向后兼容。这些标准帮助企业保护用户隐私，降低凭证被盗风险，并满足现代合规要求。

这是 FIDO 联盟和万维网联盟 (W3C) 共同促成的一个项目，旨在让用户能够使用常见设备（例如智能手机和硬件安全令牌）在电脑和移动环境中进行在线服务身份验证。FIDO2 主要是基于 U2F 身份验证标准，由 WebAuthn 标准集和 FIDO 客户端到身份验证器协议 (CTAP) 组成。

身份和访问管理 (IAM) 是一个总括术语，涵盖组织用来管理最终用户的数字身份和控制对组织网络、应用和数据的访问的策略、程序、控制和技术工具。IAM 是纵深防御 (DiD) 的基本组成部分。

特权访问管理 (PAM)、特权会话管理 (PSM)、身份治理和管理 (IGA) 以及客户身份和访问管理 (CIAM) 均为 IAM 的子类别。

身份即服务 (IDaaS) 是一种基于云的身份验证解决方案。有时亦称为 SaaS 交付的 IAM (Gartner) 或 IAM 即服务 (IaaS)。IDaaS 是一个总括术语，指代 IAM 的各种 SaaS 解决方案，从 SSO 平台到密码管理程序。

身份治理和管理 (IGA) 是 IAM 的一个子类别，指的是允许组织确保其 IAM 策略在整个数据环境中保持一致并普遍执行的策略和技术工具。IGA 工具使组织能够自动创建、管理和认证用户帐户、角色及访问权限，从而更有效地管理数字身份，并降低与身份相关的访问风险。

虽然 IGA 和 IAM 有时可以互换使用，但 IGA 与 IAM 的不同之处在于，正如 Gartner 所说，IGA“不仅允许组织定义和强制 IAM 策略，还可以连接 IAM 功能以满足审计和合规要求”。

身份生命周期管理 (ILM) 是 IAM 的一个子类别，指的是创建数字身份及其相关权限，在整个生命周期中对其进行管理和更新，以及在不再需要时将其删除的策略、程序和技术工具。数字身份可以属于人类用户（包括员工、承包商、供应商、业务合作伙伴）或应用。

用户特权会随时间而变化。如果员工晋升或承担额外的工作职责，则可能需要调整其网络特权。当员工从组织离职时，必须立即撤销其访问权限。在这些情况下，ILM 将发挥作用。

系统确定用户是其声称身份的过程。示例包括用户名和密码以及多步验证。可与访问管理结合使用。

身份提供程序 (IdP) 是一种存储和管理用户身份的服务。IdP 可能会根据存储的用户名和密码组合列表检查用户，或者也可以提供用户身份列表让其他提供程序检查。SSO 提供程序属于 IdP。

AI 智能体是一种非人类身份 (NHI)，它能够感知其环境、做出决策并自主行动以实现目标。与仅生成响应的 AI 模型不同，AI 智能体被设计用于执行任务、与系统交互，并根据上下文和过往经验改变其行为。它们使用机器学习和基于规则的逻辑等技术，只需最少的人工干预即可运行。

网络安全中的身份，是数字环境里用于标识、识别实体的一组专属属性。身份归属对象包含用户、机器、应用程序、AI 智能体，约束实体可访问资源与可执行操作。身份支撑组织核验实体身份，管控系统与数据的访问权限。

身份蔓延是指组织内人类与机器身份的快速增长，进而导致可见性下降、安全风险升高。组织拓展云环境并新增更多账户时，身份的增长速度会超出可管控范围。如果缺乏集中式身份管理，身份蔓延会扩大攻击面，提升账户被盗用的概率。

AI 治理是一套由政策、监督与管控措施构成的框架，旨在确保组织的 AI 系统安全、公平且合规。它为 AI 决策建立问责机制，并确保积极主动地管理偏见和数据泄露等风险。

最小够用权限 (JEP) 仅授予用户执行其工作职能所需的最低访问权限。通过基于角色的权限限制，JEP 能有效降低未经授权访问和权限滥用的风险。JEP 通常与即时访问 (JIT) 结合使用，并与最小特权原则 (PoLP) 协同，以增强安全性，满足合规要求。

JSON Web 令牌 (JWT) 是一种开放标准，用于在客户端和服务器之间共享安全信息。JWT 使用私有机密或公钥/私钥进行签名，因此在签发令牌后不能更改声明。

即时访问，亦称为 JIT 访问，是一种特权访问管理 (PAM) 实践，其中人类和非人类用户的特权实时提升，会话时长限制在预定时间内。这确保了人类用户或应用只有在需要时才能访问特权应用或系统，并且只能在一段时间内访问。

一种开源网络身份验证协议，使用对称密钥加密来验证通过不受信任的网络（例如互联网）进行通信的受信任主机之间的请求。Kerberos 是 Microsoft Windows 的默认授权协议，也是 Windows Active Directory 的核心组件。所有主流操作系统都内置了对 Kerberos 的支持。它广泛用于支持多种身份验证方法的大型 SSO 部署。

横向移动是指攻击者在获得系统初始访问权限后，通过网络移动的过程。他们不会仅停留在一台已遭入侵的设备上，而是会向其他计算机、服务器或云资源发起攻击，以扩大访问范围、提升特权，并获取敏感数据。这种行为使攻击者能够扩大攻击范围和影响。

一种安全最佳实践，其中人类用户和应用拥有执行任务所需的绝对最低级别的系统访问权限，而不提供更多权限。

轻量级目录访问协议（LDAP）是一种开放、独立于厂商的协议，用于通过网络访问和维护目录信息。LDAP 最常用作凭据的集中式权威数据源，使应用程序能够通过单个共享目录进行身份验证，而无需各自维护自己的目录。LDAP 是日常企业登录背后的基础技术，也是访问 Microsoft Active Directory 等目录服务的基础。

机器身份管理 (MIM) 用于管理非人类用户的数字身份，即硬件设备（包括物联网设备）、工作负载、应用、容器等使用的数字证书和密钥。MIM 是 IAM 和机密管理的子集。

恶意软件，顾名思义，是指一种通过各种技术感染设备的恶意软件，例如通过受害者点击钓鱼电子邮件或下载游戏、电影或软件等恶意文件。

主密码，有时缩写为 MP，是指最终用户在安装和设置 Keeper 之类的密码管理程序时创建的密码。用户的主密码是他们唯一必须记住的密码。因为这是他们进入其数字密码保管库的钥匙，所以使用高强度的唯一密码至关重要，并且用户决不能丢失或忘记它。因此，密码短语是创建主密码的一个好方法。

一种身份即服务 (IDaaS) 解决方案，组织可以在其数据环境中（包括云端和本地）用于其所有应用。Microsoft Entra ID 不是用于取代 Active Directory，相反，它可与 AD 结合使用。

多步验证 (MFA) 和两步验证 (2FA) 是一种身份验证方法，要求用户提供两个或多个身份验证因素以获得对资源（例如应用、文件夹或系统）的访问权限。“合格”的两步验证/多步验证要求每个验证因素必须来自不同的验证类别，如下所示：

您知道的事情 - 例如密码或 PIN 码。

您拥有的东西 - 例如安全钥匙或卡。

您的身份 - 生物识别特征，例如指纹或虹膜扫描。

您的位置 - 您的 IP 地址和地理位置。不经常使用。

ATM 是多步验证的一个示例，因为用户必须插卡（他们拥有的东西）并输入密码（他们知道的事情）。

两步验证和多步验证本质上是同义词，唯一的区别是两步验证只需要 2 个身份验证因素，就如在 ATM 示例中，而多步验证理论上可能需要 3 个或更多因素（例如智能卡、密码和指纹）。

非人类身份（NHI）是机器、服务、应用程序和自动化系统使用的数字凭证，用于在没有人工干预的情况下安全地访问数据和执行任务。NHI 在现代 IT 运营中发挥着重要作用，但也带来了独特的安全挑战。

用于安全授权的开放标准，使用户无需共享密码，即可授予第三方应用对其信息的有限访问权限。这一标准已被Amazon、Google、Facebook、Microsoft和X等企业广泛采用，用于实现跨服务的数据安全共享。

OpenID Connect (OIDC) 是一种基于 OAuth 2.0 框架构建的 RESTful 身份验证系统，使用 JSON Web 令牌。它允许第三方应用验证用户身份，并获取基本的用户个人资料信息，从而实现跨多个应用的单点登录。

密钥是一种现代无密码身份验证技术，它允许用户使用加密密钥而不是密码来登录帐户和应用。密钥利用生物识别（指纹、面部识别等）来确认用户的身份。

在哈希传递 (PTH) 攻击中，威胁行为者窃取了经过哈希处理的密码，并在不破解密码的情况下，试图用来诱骗系统创建新的经过身份验证的用户会话。哈希传递通常用于在已经被入侵的网络中横向移动。Windows 机器特别容易受到哈希传递的影响，因为 New Technology Local Area Network Manager (NTLM) 哈希中存在一个漏洞，该漏洞允许威胁行为者仅使用密码哈希来利用被入侵的域帐户，而无需实际的密码。

密码短语是用户创建高强度唯一密码的一种简便方法。因此，密码短语经常用于创建主密码。

创建密码短语时，用户需要编一个由大小写字母、数字、特殊字符和标点符号组合的句子或短语。

不可接受的密码短语示例：“My first apartment was in Alexandria, Virginia.” 这将生成密码 MfawiAV — 长度很短（只有 7 个字符），并且不包含任何特殊字符或数字。使用自动密码破解器的威胁行为者可以相当快地破解此密码。

可接受的密码短语示例：“My first apartment was at 2630 Hegal Place #42 Alexandria, Virginia 23242.” 这将生成密码 Mfawa2630HP#42AV23242，长度为 21 个字符，并且包含大小写字母、数字和特殊字符。即使使用自动密码破解器也需要几十年的时间才能破解这个密码！

一种暴力攻击，它利用了许多密码在用户中相当“热门”这一事实。例如，许多人会使用键盘上的“qwerty”模式或仅使用“password”一词。 密码喷洒攻击会获取“热门”密码列表，并尝试将其与系统中的每个用户名组合使用。

一种不使用密码，而是通过生物识别、安全密钥或一次性密码 (OTP) 等手段验证用户身份的方法。

特权任务自动化是指利用自动化工作流，在不暴露特权凭据的情况下，安全地执行需要特权访问的任务，例如资源配置或凭据管理。

特权提升和委派管理 (PEDM) 亦称为超级用户特权管理 (SUPM)，是 PAM 的一个子集，可为非管理员用户提供基于特定限制的临时访问特权系统的权限。例如，用户只能在指定的时间段内被授予对特定应用的访问权限。在会话限制到期后，用户的访问权限将自动撤销。

PEDM 解决方案使组织能够利用即时访问来减少具有管理特权的用户数量。

特权访问治理 (PAG) 将 IAM 规则应用于特权用户，确保即使是特权用户的访问亦遵循最低特权原则。与 PAG 相关的流程包括自动帐户预配和取消预配，授予新特权访问权限的正式批准流程，以及定期审查特权帐户以确保访问级别仍然适当。

特权访问管理即服务 (PAMaaS) 有时被称为 PAM-as-a-Service，是一种基于云的特权访问管理解决方案。

特权访问管理 (PAM) 是指组织用于保护、控制和监视对其最关键的信息和资源（例如本地和域管理帐户）访问的工具和技术。

特权访问工作站 (PAW)，有时亦称为安全访问工作站 (SAW)，是一种专门为执行高特权任务而设计的强化工作站。PAW 配置了限制本地管理访问权限和阻止电子邮件、办公生产工具和 Web 浏览的安全控制和策略；它们仅配备了执行高特权任务绝对必要的工具。这可以阻止最常见的网络钓鱼攻击媒介（电子邮件和网页浏览），从而大大降低了 PAW 遭到入侵的风险。

特权帐户和会话管理 (PASM) 是特权访问管理 (PAM) 的一部分，它为组织提供了一种保护、控制和监视特权用户帐户的方法。它使 IT 团队能够对关键的管理用户会话进行强有力的管理。

特权账户发现是指在 IT 环境中识别所有特权账户的过程，旨在最大限度降低安全风险、满足合规要求，并支持特权访问管理（PAM）的实施。

相较于标准用户帐户，特权帐户的网络访问级别要高得多。例如，特权帐户可以预配和取消预配用户、更改用户访问级别或者修改系统或应用配置。

特权帐户通常称为管理员帐户，但并非所有特权帐户都是由人类使用。应用使用的服务帐户也是特权帐户。

此外，术语“特权帐户”亦可能是指高级非技术用户，例如首席执行官或首席财务官，他们可以访问极其敏感的数据，例如政府机密文件、医疗记录或组织的财务信息。

特权身份管理 (PIM) 可与 PAM 协同使用。PAM 指的是管理特权用户帐户的策略和技术解决方案，PIM 则涉及管理特权用户可以访问哪些资源。PIM 允许组织控制、管理和监视特权用户对特定数据及系统的访问权限。

特权用户管理 (PUM) 是一个控制和监控具有高级访问权限的账户，以保护关键系统和数据的过程。它确保用户拥有执行工作所需的适当权限，同时通过持续监控落实安全协议。PUM 在维护合规性和执行最小权限访问方面至关重要。

特权会话管理 (PSM) 可与特权访问管理 (PAM) 协同使用，以保护对组织最敏感和最关键系统及数据的访问。PAM 侧重于保护特权用户凭据，而 PSM 则用于控制、监视和记录特权会话，这意味着特权用户在登录网络后将执行哪些操作。

除了防范特权用户滥用访问权限外，PSM 还使组织能够满足合规性法规，例如 SOX、HIPAA、PCI DSS、ICS CERT、GLBA、FDCC 和 FISMA，这些法规要求记录和监视特权活动。

建立用户对整个系统或单个应用访问权限的过程。新员工将被预配到其完成工作所需的所有系统和应用；承担额外工作职责的员工可能需要被预配到额外的应用和系统。

PWN 是黑客俚语，起源于在线游戏社区，是“owned”误拼（这也是为什么 PWN 的发音是 “own”而非“pawn”的原因）。它的意思是征服或控制，例如成功入侵帐户或网络。

亦称为公钥加密或非对称加密。一种加密数据的方法，使用两个密钥，一个是公钥，任何人都可以使用，另一个是私钥。使用公钥加密的数据仅可使用私钥解密，反之亦然。

在 FIDO 2.0 中，信赖方是使用 FIDO 协议直接对用户进行身份验证的网站或任何其他实体。

在 FIDO 与 SAML 和 OpenID Connect 之类的联合身份管理协议结合使用的情况下，身份提供程序也是 FIDO 的信赖方。

远程身份验证拨入用户服务 (RADIUS) 是一种客户端-服务器协议，支持对远程和无线网络访问进行集中式身份验证、授权和记帐管理。RADIUS 在应用层运行，使组织能够在所有远程服务器共享的中央存储库中维护用户个人资料。

远程桌面协议 (RDP) 是由微软开发的专有网络通信协议，RDP 支持对工作站和服务器的安全远程访问。非技术最终用户可以使用 RDP 远程访问其工作站，IT 管理员和 DevOps 团队亦可使用 RDP 远程执行系统维护以及诊断和修复问题。使用图形用户界面，远程用户可以像坐在远程机器前一样打开应用和编辑文件。

除了 Windows 版之外，RDP 客户端亦提供 Mac OS、Linux/Unix、Google Android 和 Apple iOS 版本。RDP 软件还有开源版本。

远程特权访问管理 (RPAM) 为远程办公用户保障并控制特权访问，确保只有获得授权的用户可以从任意地点访问关键系统。RPAM 通过实施零信任安全、即时 (JIT) 访问和凭证屏蔽，降低内部威胁与外部网络攻击的风险。对于希望在混合办公环境与分散式员工团队中保障远程访问安全的组织而言，RPAM 至关重要。

表述性状态转移。一种现代、无状态、高度灵活的 API，定义了一组函数，例如 GET、PUT 和 DELETE，客户端可以使用这些函数访问服务器数据。客户端和服务器使用 HTTP 交换数据。

机器人流程自动化 (RPA) 技术是指能将重复性的手动工作自动化的软件。RPA 借助人工智能和机器学习技术，使机器人能模拟人类用户操作并适应动态环境。例如，RPA 可用于构建交互式聊天机器人，这类机器人能实时分析客户咨询。

基于角色的访问控制 (RBAC)，亦称为基于角色的安全性，是一种访问控制模型，其中用户在组织中的角色决定了他们可以访问哪些网络资源。RBAC 的目标是确保用户无法访问与其工作职能无关的系统和数据，从而加强合规，防止数据泄露，并在用户凭据遭到泄露时阻碍威胁行为者在网络内横向移动的能力。可与最低特权访问协同使用。

安全断言标记语言 (SAML) 是一种开放的、基于 XML 的标准，可让身份提供商与服务提供商安全地共享用户的身份验证和授权数据，主要用于实现单点登录 (SSO)。它通过在身份提供商与服务提供商之间传递已签名的 XML 断言，让用户只需登录一次即可访问多个应用程序。SAML 是 Web 和云应用程序安全身份验证的基础标准。

在 IT 环境中，机密是任何必须保密的紧凑数据。通常由非人类用于对高特权系统和数据进行身份验证。IT 机密的示例包括 RDP 凭据、SSH 密钥、API 密钥和特权帐户凭据。

在 IT 环境中安全存储、访问和管理基础设施机密的工具和方法，例如 API 密钥、数字证书和特权帐户凭据。 也称为应用到应用密码管理 (AAPM)。

机密蔓延是指敏感凭证在组织各类系统中失控扩散的现象。随着 API 密钥等敏感凭证分散在不同环境中，组织逐渐失去对其访问与管理方式的可视性与控制力。防止机密蔓延需要持续、一致的密钥管理机制，以及对所有凭证的安全存储。

安全外壳 (SSH) 协议是一种加密网络协议，可支持两台计算机进行安全通信。它是为替代 Telnet 及其他传统 Unix 远程外壳协议（这些协议会以明文传输数据，因此容易被拦截）而开发的安全方案。SSH 采用公钥加密技术验证远程系统和用户的身份，并对所有通信内容进行加密。SSH 最常见的用途是远程登录和安全执行命令行操作。

安全即服务 (SaaS/SecaaS) 是一种商业模式, 在该模式下, 组织将网络安全解决方案和服务外包出去, 而不是使用内部资源。SECaaS 可以小至部署托管的基于云的 PAM 或 IAM 平台，亦可大至外包组织的所有安全功能。

安全信息和事件管理 (SIEM) 系统是一个软件平台，用于汇集来自整个组织数据环境的安全数据，对其进行分析，并在发现潜在威胁时通知人类安全人员。SIEM 可从硬件和应用（包括网络设备、服务器和域控制器）收集和分析数据。

最终用户用来证明其身份和访问数字资源的一种物理或逻辑设备。除了密码之外，您还可以使用安全令牌，作为两步验证/多步验证因素，或者在无密码身份验证设置中代替密码。

物理安全令牌包括密钥卡或安全密钥（例如 YubiKey）。数字安全令牌包括由身份验证应用生成的 OTPS/TOTP。

自助密码重置 (SSPR) 允许用户通过预设的多因素身份验证 (MFA) 方法验证身份，安全重置密码，无需 IT 协助。SSPR 帮助企业减少 IT 支持工单，优化安全状况并提升生产力。它对混合办公和远程办公团队特别有益，使用户能够即时进行帐户恢复操作。

服务帐户是一种特权帐户，供应用程序等非人类身份 (NHI) 用于运行自动化任务。它们常用于虚拟机、本地部署系统或 API 调用场景。

与用户帐户不同，服务帐户通常在软件安装过程中自动创建和配置。应用程序通过它们进行身份验证并执行操作，无需人工干预。虽然服务帐户能简化操作并为 IT 团队节省时间，但其也会带来重大安全风险，必须进行严格管理和监控。

作为机密管理的一个子集，服务帐户治理 (SAG) 是指用于保护和管理服务帐户的策略、程序和技术工具，包括预配和取消预配、密码管理和依赖关系管理。

共享帐户密码管理 (SAPM) 类似于特权用户管理 (PUM)。它指的是共享特权帐户的管理，组织应竭尽全力避免这种情况，因为出于安全和合规目的，必须严格管理和监视特权帐户。

单点登录 (SSO) 是一种身份验证方法，用户可以使用一组凭据访问多个应用和系统。虽然 SSO 经常与联合身份管理 (FIM) 同义使用，但 SSO 允许在单个域内进行访问，而联合身份管理则允许跨域访问系统和应用。

SSO 示例：员工使用一组凭据访问其工作电子邮件、HR 系统和其他内部资源。

FIM 示例：员工使用一组凭据访问第三方应用，例如视频会议应用和工单系统。

SSO 和 FIM 经常相互结合使用。

SOAP API 是一种基于协议的 API，用于在互联网上的多个系统之间交换信息。SOAP API 以其严格的 XML 消息格式而闻名，最常用于银行和政府服务等企业环境。

Gartner 将软件变更和配置管理 (SCCM) 定义为用于管理和控制软件版本和配置的工具。Gartner 亦将“开发变更管理、缺陷跟踪、变更自动化、开发发布管理、集成测试管理、集成构建管理和其他相关流程”的解决方案视为 SCCM 的一部分。

跨域身份管理系统 (SCIM) 是自动执行用户预配和取消预配的一种开放标准。SCIM 支持通过 REST 标准化 API 在身份域或 IT 系统之间交换用户身份信息，数据格式为 JSON 或 XML。组织在员工入职和离职时可使用 SCIM 从第三方平台（例如办公生产力套件、CRM 和工单系统）自动添加和删除用户。

随着组织越来越多地采用 SaaS 解决方案，SCIM 作为 LDAP 的替代方案正在迅速普及。Microsoft Entra ID 等主要身份提供程序都支持 SCIM，包括 Microsoft Office 和 Google Workspace 在内的许多热门 SaaS 平台也是如此。

一次性密码 (OTP) 或基于时间的一次性密码 (TOTP) 是一种自动生成的字符串，用于对单个事务或登录会话的用户进行身份验证。OTP 可通过电子邮件、短信或身份验证器应用发送。经常被用作两步验证/多步验证的身份验证因素。

TOTP 与 OTP 类似，不同之处在于它仅在很短的时间内有效，通常为 30-60 秒。

用户可以使用包含会话状态信息的签名 Cookie 进行身份验证进入应用的一种方法。基于令牌的身份验证通常是与其他身份验证方法结合使用。在此情况下，将使用另一种方法进行初始身份验证，当用户返回网站或应用时，则使用基于令牌的身份验证进行重新身份验证。

传输层安全 (TLS) 和安全套接字层 (SSL) 是在通过互联网传输数据时加密数据和验证连接的加密协议。

TLS 是从 SSL 演变而来；TLS 协议原本应该被称为 SSL 3.0。该名称在发布之前进行了更改，以解除与创建 SSL 的现已倒闭的 Netscape 公司的关联。虽然 TLS 和 SSL 这两个术语经常互换使用，但 SSL 已不再使用，因为它包含 TLS 旨在修复的安全漏洞。

双因素身份验证 (2FA) 是一种安全流程，要求用户在访问帐户或系统之前提供两种形式的身份验证。
第一个因素通常是密码或个人识别码，而第二个因素可以是从智能卡或安全令牌等物理对象到指纹或面部识别等生物识别数据，甚至位置信号。通过添加额外的安全层，2FA 有助于防止未经授权的访问，即使密码被泄露也是如此。

通用身份验证框架 (UAF) 是由 FIDO 联盟开发的开放标准，其目标是将无密码身份验证作为主要身份验证因素，而不是辅助身份验证因素。

通用第二因素 (U2F) 是一种开放标准，使用通过 USB 或近场通信 (NFC) 连接的硬件安全令牌作为两步验证/多步验证中的额外因素。U2F 标准最初由 Google 和 Yubico 开发，NXP Semiconductors 亦有贡献，目前由 FIDO Alliance 管理。它已被 FIDO2 项目替代。

用户帐户控制 (UAC) 是 Microsoft Windows 系统中包含的一项强制性访问控制强制功能。UAC 通过防止人类用户、应用和恶意软件对操作系统进行未经授权的更改，帮助降低恶意软件的影响。它的工作原理是强制每个要求管理员访问令牌的应用在运行特定进程（例如安装新软件）之前提示征得同意。

用户和实体行为分析 (UEBA) 利用人工智能和机器学习算法为组织网络中的人类用户、路由器、服务器和端点创建行为基线，然后监视与该基线的偏离。使用 UEBA 的一个常见示例是，信用卡公司暂时冻结客户的帐户，因为其算法注意到用户行为发生了极大变化，例如客户突然下了多个非常大的订单。

供应商特权访问管理（VPAM）是特权访问管理（PAM）的一个组成部分，专注于对第三方供应商及承包商访问组织系统、网络与数据的权限进行管理、控制与监控。

虚拟网络计算 (VNC) 是一种跨平台的屏幕共享系统，用于从另一台电脑远程控制桌面。使用 VNC，远程用户可以像坐在其前面一样使用电脑的屏幕、键盘和鼠标。

VNC 在客户端/服务器模式下工作，这要求在被访问的远程机器上安装服务器组件，并在访问远程机器的设备上安装一个 VNC 查看器或客户端。VNC 使用远程帧缓冲 (RFB) 协议来控制在客户端和服务器之间传递的数据格式。

VNC 与 RDP 类似，但 VNC 可以跨多个操作系统工作，并直接连接到远程电脑，而不是通过服务器。

Web 访问管理 (WAM) 是 IAM 的前身，其在 20 世纪 90 年代和 21 世纪初很常见。WAM 解决方案可控制和管理用户对企业数据中心本地托管的 Web 资源的访问。由于 WAM 工具无法适应云计算、移动性、API 和远程访问的出现，它们已被更强大的 IAM 解决方案所取代。

WebAuthn（Web 身份验证）是由万维网联盟 (W3C) 发布的基于 Web 的 API，也是 FIDO2 规范集的关键组成部分。WebAuthn 允许网站更新其登录页面，以便在支持的浏览器和平台上添加基于 FIDO 的身份验证。

可扩展访问控制标记语言。这是 IAM 解决方案使用的一种结构化语言，支持基于属性的访问控制 (ABAC)、基于策略的访问控制 (PBAC) 和其他高复杂度的授权机制，这些机制根据一组协同的细粒度用户属性授予访问权限。

零知识是一种安全模型，它使用独特的加密和数据隔离框架，通过确保 IT 服务提供商不了解其服务器上存储的客户数据来防止远程数据泄露。

在零知识环境中，数据是在设备级别而非在服务器上进行加密和解密。服务器从不以明文形式接收或存储数据，IT 服务提供商也无法访问客户加密密钥。因此，除了客户之外，任何人都无法访问未加密数据，即使是 IT 服务提供商自己的员工也无法访问。

Keeper Security 是一个零知识安全产品供应商。数据在传输并存储在 Keeper 的数字保管库之前，会在用户设备上进行加密。当数据同步到另一设备时，数据将保持加密，直到在另一设备上解密。Keeper 无法访问客户的主密码，也无法访问客户的加密密钥来解密其数据。

一种现代 IAM 框架，其假定所有用户和设备都可能存在威胁，因此无论是人还是机器都必须经过验证才能访问网络，并且对网络资源必须只有最低特权访问权限。

零信任网络访问 (ZTNA) 是一个网络安全框架，专注于维护严格的访问控制和身份验证机制，无论用户或设备是位于网络边界内部还是外部。