身份權限治理基線
身份權限管理是為了縝密地識別、驗證和授權個人、用戶組或角色，并為其授予云上IT的適當訪問權限。身份權限治理基線可以認為是云上IT風險治理的第一步，無論企業最先安排哪部分業務上云，企業對云上賬號、角色、權限的風險治理都需要率先制定章程。
后續隨著業務的飛速擴張，云上的賬號體系也必將越來越復雜。且業務上云后，傳統IT中的中心化托管不再適用，中心運維團隊需要下放運維身份和權限給業務團隊，以支持更靈活的運維模式。
在上云最初制定并實施治理基線，可避免在規模壯大后可能出現的人員冗雜、權限難以梳理、賬號無法清退的困境。避免因低效混亂的賬號管理遭受惡意訪問和攻擊。
例如：某知名證券企業在上云之初時，僅在云上部署測試單元，共注冊了3個主賬號分別用作測試賬號、生產賬號和審計賬號。在沒有具體業務上云的情況下，事先在云上實施了身份權限的風險治理。
具體要求如下：
僅允許白名單內的子賬號和角色可以在云上進行管控操作。那么，即便子賬號和角色被創建出來，也可以利用白名單約束其活動。
根賬號和具備較高權限的子賬號必須開啟多因素認證（MFA）認證，強制高權限賬號必須開啟多因素認證。
必須采用強密碼策略。
當認證協議和密碼策略發生變更時需收到告警，這是對身份權限管理策略的強監管。
將所有賬號的操作事件統一歸集到權限隔離的審計賬號，并做安全分析。
該企業在后續長期的運營中，主賬號增長到15個，活躍的子賬號超過70個。中心運維團隊下放管控權限給業務團隊和第三方服務商。在企業內部建立了一套賬號變更管理流程，當發生人員離職、人員組織架構變動、人員變更歸屬項目時，分別對云上活躍賬號白名單及子賬號歸屬的用戶組進行變更，實現云上身份權限的縝密管理。
應對的風險
不同的企業管理模式可能導致身份權限管理中面對不同的風險，常見的風險如下：
高權限風險。活躍的管控賬號直接為主賬號或具備管理員權限的子賬號，可能給運維人員的誤操作提供了更大的空間，對資源錯誤的變更、釋放、主機升級都可能造成業務中斷。
較弱的認證機制和密碼策略。這可能增加賬號被盜用的可能性，進而遭到惡意破壞和數據竊取。
閑置的有效賬號。長期閑置的具備一定權限的賬號可能是離職員工的曾用賬號，閑置賬號不及時回收可能成為安全管理的盲區，被惡意利用。
缺乏操作審計監管。企業不監控和收集云上的訪問事件，將無法及時發現訪問事件背后的惡意意圖，如高頻的登錄失敗、無權限訪問、異常訪問等。在真正發生惡意操作后也難以復盤和追責。
隨著業務的發展壯大，云上的IT管理人員、IT規模、業務復雜度都在成倍增長，企業應周期性審視身份權限管理的風險辨識，及時更新風險的定義并推進風險治理策略的升級實施。
風險評估
企業的權限管理人員在日常工作中可能需要解答下面幾個問題：
為什么需要進行身份權限風險治理？收益是什么？
應該什么時候采取風險治理措施？
在實際工作中這兩個問題需要結合起來看。身份權限治理的收益是靠風險可能造成的損失來衡量的，而風險可能造成多大的損失又取決于企業實際的身份權限管理復雜度。所以，當企業的身份權限管理復雜度達到一定程度時，企業業務的規模和復雜度也一定較高。此時權限過大、認證較弱的風險可能帶來的業務損失也更大，那么“達到一定程度”時就是必須采取風險治理措施的時候，而這個“一定程度”每個企業會有所不同。
這里提供一些衡量指標的維度，企業可根據自身實際情況設定閾值：
云上活躍的子賬號數達到N個。
云上活躍的子賬號中具備較高權限的達到N個。
云上需要管理的資源對象達到N個。
云上需要管理的項目達到N個。
曾發生賬號盜用事件N次。
出現身份認證失敗超過N次。
出現嘗試越權訪問而訪問失敗N次。
需要將云上管控的身份權限委托給第三方服務商。
治理基線
企業應根據云上運維人員數量、運維人員的工作邊界、需托管的業務數量、需托管的云上IT規模、具體托管的業務內容等實際情況來制定自己的身份權限治理基線，以下提供較通用的基線策略，可以作為參考：
賬號基本安全
為云賬號開啟多因素認證（MFA）。
避免使用主賬號訪問密鑰（AK）。
使用訪問控制
使用云平臺的訪問控制產品。避免直接使用主賬號，通過創建子賬號并授予最小必要權限來進行云上管控。
為所有子賬號開啟多因素認證（MFA）。
限定云上活躍的子賬號和角色白名單。
必須采用強密碼策略。
密碼有效期不超過90天。
密碼最小長度不小于8位。
密碼中必須包含大小寫字母、數字、特殊符號。
禁止使用前3次使用過的密碼。
一小時內最多允許輸入5次錯誤密碼進行登錄。
避免同一個子賬號同時具備控制臺登錄權限和AK訪問權限。
避免存在空的用戶組和未放入用戶組的子賬號，對用戶組授權避免直接對子賬號授權。
避免長期存在未授權的子賬號，或未綁定到子賬號的權限策略。
僅為有限的人員設置管理員權限，并嚴格禁止賬號共享使用。
預定義固定的用戶名、角色名和相應權限，變更時收到告警并自動修復。
使用Policy Conditions精確權限的生效條件，例如：
使用IP條件，限制僅能在公司或通過VPN來管控阿里云資源。
使用時間條件，限制僅允許在工作時間進行資源變更。
充分審計
將所有賬號的操作事件統一歸集到權限隔離的審計賬號，并做安全分析。
當認證協議和密碼策略發現變更時需收到告警。
當根賬號活躍時收到告警。
定期對比子賬號實際操作行為和授權策略，避免冗余授權。
持續治理
使用云上具備監控和持續檢測能力的治理工具。
開啟云平臺推薦的治理基線，結合企業自身實際需求實現自定義策略。
治理基線的迭代與實施
企業需要在內部構建較強的監管流程保證身份權限治理策略被正確完整的實施。流程的可監管能力、可強制能力決定了身份權限治理策略實施的結果。在長期的身份權限治理工作中，企業需要根據業務的發展不斷更新迭代身份權限治理基線，并通過流程從上而下地實施落地。同時還需要定期審視當前實施的治理策略，根據審視結果及時優化治理策略。