零信任的每次判断都从“你是谁”开始。身份与访问管理（IAM）提供账号、认证、权限与生命周期，是访问决策的地基。
在零信任里，几乎所有判断都从同一个问题出发：这个人是谁？ 如果身份本身是一团乱麻，后面的判断就像在流沙上盖楼。这也是为什么人们常说，零信任离不开身份管理。
先搞懂：IAM 是什么
IAM（Identity and Access Management，身份与访问管理）可以理解为企业的“人事与门禁总管”，负责回答两类问题：
- 身份： 谁有账号？属于哪个部门、什么岗位？
- 访问： 他能用哪些系统、做哪些事？
IAM 支撑访问决策的四块积木
1. 账号：谁存在
把分散在各个系统里的账号纳入统一管理。账号越分散，越容易出现“僵尸账号”“共享账号”这类隐患。
2. 认证：你是不是你
在访问发生时核实身份，可以是密码，也可以叠加多种方式。认证强度应与访问的敏感程度匹配。
3. 授权：你能做什么
按组织、岗位和业务需要分配权限。权限的依据是“职责”，而不是“方便”。
4. 生命周期：来了、变了、走了
员工入职要开通、调岗要调整、离职要回收。生命周期管理跟不上，权限就会越积越多。
身份是怎样进入“访问决策”的
当一次访问发生，决策层会拿着 IAM 提供的信息去判断：
- 这个账号是否存在、是否有效？
- 认证是否通过、强度是否足够？
- 他的岗位和组织，是否允许访问这项资源？
- 他的权限最近有没有变化？
没有 IAM，决策层就缺少“事实依据”，只能凭粗糙的规则放行。
一个常见的坑：身份散落各处
很多企业的现状是，每套业务系统各管各的账号：
- 账号分散： 同一个人有多个账号；
- 权限分散： 权限散落在各个系统，没人说得清全貌；
- 管理分散： 人员变动时要逐个系统处理，容易遗漏。
这种状态下做零信任，等于地基还没夯实就开始盖楼。
统一身份认证准入平台就是从这一层入手的。政企环境中人员来自不同部门、不同组织和不同地点，若每套系统独立管理账号，容易形成账号、权限、管理“三个分散”，平台的做法是把分散的访问主体，纳入统一的身份管理框架，涵盖账号管理与身份认证、权限管理与组织架构、身份生命周期。这样，管理人员可以从“管理多个系统账号”，逐步转向“管理用户身份与访问权限”，也为后续的准入与审计提供依据。
小结
- 零信任的判断都从“你是谁”开始，所以离不开身份管理。
- IAM 的四块积木：账号、认证、授权、生命周期。
- 身份散落各处时，应先统一身份，再谈精细的访问控制。