身份验证和授权之间的区别是什么?身份验证确认用户就是他们所说的那个人。授权授予这些用户访问资源的权限。
虽然身份验证和授权听起来很相似，但在身份和访问管理(IAM)领域，它们是不同的安全过程。
什么是身份验证(Authentication)?
身份验证是验证用户是否就是他们所声称的那个人的行为。这是任何安全流程的第一步。
使用以下命令完成认证过程:
- 密码。用户名和密码是最常见的身份验证因素。如果用户输入了正确的数据，系统就假定该身份有效并授予访问权限。
- 一次性个人身份识别号码(One-time pins)。仅为一个会话或事务授予访问权限。
- 验证应用程序。通过授予访问权限的外部方生成安全代码。
- 生物识别技术。用户出示指纹或眼睛扫描来进入系统。
在某些情况下，系统需要在授予访问权限之前成功验证多个因素。部署这种多因素身份验证(MFA)需求通常是为了提高安全性，而不仅仅是密码可以提供的安全性。
什么是授权(Authorization)?
系统安全中的授权是授予用户访问特定资源或功能的权限的过程。这个术语通常与访问控制或客户端特权交替使用。
允许某人下载服务器上的特定文件或向个人用户提供对应用程序的管理访问权限都是授权的好例子。
在安全环境中，授权必须始终遵循身份验证。在组织的管理员授予用户访问所请求资源的权限之前，用户应该首先证明他们的身份是真实的。
authentication-authorization
身份验证(Authentication) vs 授权 (Authorization)
尽管术语听起来很相似，但身份验证和授权在登录过程中是分开的步骤。理解两者之间的区别是成功实现IAM解决方案的关键。
让我们用一个类比来概括它们的区别。
想象一下，当家人外出度假时，一个人走到一扇锁着的门前照顾宠物。这个人需要:
- 身份验证，以钥匙的形式。门上的锁只授予具有正确钥匙的人访问权限，就像系统只授予具有正确凭证的用户访问权限一样。
- 授权，以权限的形式。一旦进入，这个人就有权进入厨房，打开放宠物食品的橱柜。这个人可能不被允许进入卧室小睡一会儿。
在本例中，身份验证和授权一起工作。宠物保姆有权进入房子(认证)，一旦进入，他们就可以进入某些区域(授权)。
| 身份验证(Authentication) | 授权 (Authorization) | |
|---|---|---|
| 它是做什么的? | 验证凭证 | 授予或拒绝权限 |
| 它是如何工作的? | 通过密码、生物识别技术、一次性密码或应用程序 | 通过安全团队维护的设置 |
| 它对用户可见吗? | 是 | 否 |
| 它是由用户改变的吗? | 部分 | 否 |
| 数据是如何移动的? | 通过ID令牌(ID tokens) | 通过访问令牌(access tokens) |
系统以相同的方式实现这些概念，因此IAM管理员了解如何利用它们是至关重要的:
- 身份验证。如果每个员工根据您选择的身份验证要求提供正确的凭证，则允许他们访问您的工作场所系统。
- 授权。对特定部门的文件授予权限，并根据需要保留对机密数据(如财务信息)的访问权限。确保员工能够访问他们工作所需的文件。
理解身份验证和授权之间的区别，并实现对两者都有强大支持的IAM解决方案。您将保护您的组织免受数据泄露，并使您的员工更富有成效。
参考
okta
