默認安全的設計理念：在可用性和安全性難以兩全的場景中，IDaaS會優先保障安全性，在此基礎上，盡可能追求易用性。雖然不同行業的安全要求不一，我們無法承諾IDaaS的默認配置符合所有行業的標準、更不意味著絕對安全，但我們追求最大程度上的開箱即安全。?

安全是生命線，企業身份體系是信息安全的緊要核心，也是外部攻擊的主要進攻點。我們會盡可能地，按照高標準，提供安全、可信、可靠的安全身份服務。

舉例一：默認開啟二次認證

使用密碼雖然有難以克服的安全隱患，但由于其方便用、好實現，仍然是大量應用的主要身份驗證方式之一。?二次認證是針對密碼認證場景的最直接的安全兜底方式。當進行了密碼登錄后，還需要額外進行一次短信/郵箱驗證，才能訪問服務。為了保障企業的賬號安全，IDaaS實例默認開啟二次認證，所有賬戶訪問應用，均需要進行二次認證，確認身份無誤后，才能放行。?因此，所有接入IDaaS SSO的應用，即刻受到IDaaS二次認證的安全保障。

高級：智能模式?

同時，為了避免多次登錄時反復二次認證的麻煩，IDaaS默認開啟智能模式。智能模式將綜合當前設備訪問環境和賬戶狀況，判斷當前是否需要二次認證。?

若您正常辦公，可能很多天都無需二次認證，IDaaS以此保障安全登錄的易用性。

舉例二：管理控制臺操作風控

管理員的操作擁有比用戶操作遠遠更大的權限。一旦管理員賬戶被盜用，其惡意行為將造成遠遠更大的負面影響。當子管理員進行一些影響面較大的敏感操作時，也應該由負責人確認后進行，以此保障局面可控，流程合規。?

阿里云IDaaS為管理側關鍵管理操作，利用阿里云多年沉淀的風控體系，判斷當前管理者的賬號狀態和訪問環境。一旦操作風險超過閾值，將會觸發風控驗證，需要阿里云賬號綁定的手機號進行二次認證。

?

IDaaS在如下操作中預置了風控埋點，覆蓋了對訪問、對開發、對數據最敏感的一些場景。

• 刪除實例

• 批量刪除賬戶

• 刪除應用

• 密鑰輪轉

• ... 等十余類操作

舉例三：應用默認手動授權

使用IDaaS進行企業身份管理，除了SSO帶來的便捷和安全性，另一大核心價值，是由統一分配權限管理帶來的。當所有訪問均通過IDaaS進行SSO，就可以非常方便地在IDaaS中分配應用訪問權限。?

阿里云IDaaS默認所有應用均需要手動進行授權。

新創建出來的應用，在管理員明確其授權范圍前，無人可以訪問。以最小權限原則，避免應用訪問權限的泛濫問題。?

舉例四：密碼策略安全性

當不得不使用密碼登錄時，密碼的安全策略就派上了用場。?IDaaS默認支持密碼登錄，為了保障登錄的基本安全性，我們推薦了一系列較為通用的安全配置，作為實例初始化默認配置。

我們默認一套相對安全性較高的復雜度配置，以盡可能為身份安全提供高標準、高規范。默認的復雜度為：

• 必須包含大寫字母

• 必須包含小寫字母

• 必須包含數字

• 必須包含特殊字符

• 不能包含賬戶名。

您可以對此策略進行調整，以達成業務需求和安全性之間的平衡。

舉例五：默認簽名、默認加密

在進行跨域請求時，無論是否使用HTTPS，都無法100%真正保障跨域請求在網絡傳輸中的安全性。?

為了達到真正端到端的安全防護，IDaaS在全局采用HTTPS的基礎上，額外提供了業務層面的簽名層和加密層，默認開啟。?

• 簽名層：在進行跨域請求時，對請求內容使用私鑰進行簽名，允許接收方使用公鑰驗證信息，確保信息在傳輸過程中不被篡改。在部分SSO場景、出方向賬戶同步場景中使用。?

• 加密層：支持同步信息的端對端加解密，默認加密后同步數據，且默認不同步密碼信息，避免疏漏操作導致的信息泄露。未來會支持SAML SSO全過程加密，讓SSO達到金融級、政務級的高級別安全要求。