什么是非人类身份？

非人类身份有不同类型，每种类型在组织中的创建、使用和管理方式各不相同。每种类型都有特定用途，但都旨在帮助软件系统在无人参与的情况下安全访问资源。

以下是一些最常见的类型：

1. 服务帐户是常用的手动创建的帐户，允许应用程序或服务与系统交互。它们用于：
 

• 运行后台任务或自动化作业。
• 访问文件或数据库。
• 连接不同系统中的服务。

为了处理日常系统任务，许多组织使用服务帐户，但如果管理不当，它们可能访问系统中实际不需要的部分，从而增加安全风险。

2. 托管身份由云平台自动创建和管理，使得可轻松地控制软件可访问的内容。每个身份都绑定到特定的系统或服务，仅在需要时存在。这消除了开发人员手动处理用户名或密码的需要，从而降低了暴露风险并提高了安全性。它们通常用于：
 

• 在不存储密码、API 密钥或访问令牌等机密的情况下安全验证云服务。
• 基于角色分配访问权限，设置最少。
• 随着云环境的增长，更高效地管理软件身份。

使用托管身份有助于简化访问、减少凭据管理，并降低软件拥有超出所需访问权限的风险。

3. 服务主体是应用程序或服务用于访问云资源的安全身份。它们在身份平台中充当应用程序的身份，广泛用于：
 

• 自动化和脚本任务。
• 构建、测试和部署工作流。
• 云服务与第三方工具之间的连接。

服务主体提供对软件可访问的内容的灵活、详细控制，但需要密切监视，以防止滥用并保持系统安全。

4. AI 智能体是一类新兴的非人类身份。AI 智能体由智能体 AI 驱动，是自主、动态的非人类身份，可以在无需直接人工输入的情况下推理、委派和跨系统行动。与传统 NHI 不同，AI 智能体可能：
 

• 按需创建并在多个领域中使用。
• 使用临时或基于上下文的凭据访问 API、数据库和服务。
• 推理任务并切换角色，有时作为系统智能体，有时代表人。

AI 智能体的动态生命周期挑战了 OAuth 或 SAML 等传统身份框架，这些框架是为静态人类或机器身份设计的。使用 AI 智能体为非人类身份管理策略带来了新的要求，包括：
 

• 临时凭据 - 短期有效并自动撤销。
• 实时策略评估以授予动态最小权限访问。
• 问责制和可审计性用于针对智能体执行的自主操作。
• 人工监督，用于针对智能体执行的敏感或高风险任务。

如果处理不当，AI 智能体会产生大量未管理的身份，导致凭据蔓延、权限蠕变和安全盲点。

随着组织使用更多基于软件的工具和服务，非人类身份的数量会持续增长，对智能管理方式的需求也随之增加。如果不仔细监控，这些身份可能成为未知的安全漏洞，特别是当它们拥有过多访问权限、未被监控或在不再需要时仍保持活跃时。妥善管理它们有助于降低风险、提高可见性并保护系统安全。

它的作用

非人类身份管理包括发现、组织、保护和监控属于应用程序、工具、机器人和其他自动化系统的身份。这包括：
 

• 使用安全的命名和访问约定创建身份。
• 根据每个系统的需求分配角色和权限。
• 保护令牌、密钥和证书等凭据。
• 审核使用情况以检测异常行为或权限滥用。
• 自动移除未使用或已过期的身份。

为什么它很重要

组织应使用身份和访问管理 (IAM) 系统等工具，帮助安全团队从中心位置管理人类身份和非人类身份。

对于非人类身份，IAM 系统提供：
 

• 查看哪些系统正在访问哪些资源的可见性。
• 基于策略的访问控制，以强制执行最小特权权限。
• 生命周期自动化，以减少手动维护。
• 监视和日志记录，以检测滥用或危险行为。
• 凭据轮换和保管，以提供更好的保护。

这些工具帮助安全和 IT 团队确保非人类身份在定义的边界内安全运行，并且不会在合规性、可见性或控制方面造成漏洞。

最佳实践

有效管理非人类身份需要在安全性、自动化和可见性之间取得平衡。这些最佳做法有助于降低风险，避免身份蔓延，并确保系统在不断扩展时持续受到保护。

1. 应用最低特权访问。仅授予每个身份所需的权限 - 不多不少。尽量避免分配宽泛或管理员级别的访问权限。这样可以最大程度降低身份被盗用时的影响。

2. 自动化生命周期管理。使用身份工具自动化创建、轮换和移除非人类身份。将身份与其支持的任务或服务的生命周期绑定，有助于防止未使用的帐户留在你的环境中。

3. 尽可能使用托管身份。在云环境中，托管身份会自动处理安全访问和密码更新。这意味着无需在代码中存储密码或访问密钥等敏感信息。

4. 集中可见性和控制。通过集中式 IAM 系统跟踪所有非人类身份。跨云、本地和混合环境的可见性使发现未使用、配置错误或有风险的身份变得更加容易。

5. 保护凭据。将密码、访问密钥和安全证书等敏感信息保存在安全存储系统中，而非应用程序代码或设置文件中。定期更新这些信息，并留意任何异常活动。

6. 监视和审核活动。设置日志和警报，以跟踪非人类身份的使用情况。留意异常、过度的访问尝试或可能表明滥用的意外行为。

7. 定期审查和清理。定期安排对非人类身份及其权限的审查。删除未使用的身份并收紧过于宽泛的访问权限，以保持环境整洁安全。

采用这些最佳做法有助于组织领先于身份相关风险，同时自信地支持自动化和创新。

它带来什么
 

• 通过限制常被忽略的访问点来增强安全性。
• 更好地跟踪谁或哪些系统拥有访问权限，使审核和合规更加轻松。
• 通过妥善管理权限，降低出错或滥用访问的可能性。
• 通过自动化设置、监视和清理身份来提高效率。

有了合适的系统和实践，管理非人类身份就成为在支持现代 IT 运营速度和规模的同时加强安全的机会。

在当今云互联的世界中管理访问，仅靠传统身份工具是不够的。Microsoft 的身份和访问管理解决方案帮助组织保护用户、设备、应用程序和自动化服务 - 无论它们从哪里连接或使用何种方法和技术。

Microsoft Entra 身份和网络访问管理解决方案旨在防止攻击、确保最小权限访问并改善用户体验，同时提供对资源的安全访问。Microsoft Entra ID、Microsoft Entra ID 治理、Microsoft Entra 外部 ID 和 Microsoft Entra Workload ID 等工具专为管理非人类身份而设计。

作为一套全面的访问管理解决方案，Microsoft Entra 支持员工、客户、合作伙伴和非人类身份对本地和云环境中资源的安全访问。它包括以下功能：
 

• 单一登录，简化跨应用程序和服务的访问。
• 多重身份验证，包括无密码和双因素身份验证，例如生物识别、FIDO 密钥和身份验证应用程序。
• Privileged Access Management，用于保护和监视拥有提升权限的高影响帐户。
• 登录安全，可抵御暴力破解攻击、密码重用和会话劫持。
• ⁠条件访问，根据风险级别、位置和设备运行状况等实时信号调整权限。
• 身份保护，具备实时威胁检测和自动响应能力。
• 现代化网络访问，覆盖公用和专用网络。
• 访问治理，用于监视、审查和自动化用户及系统的访问权限获取方式。

这个统一平台有助于保护所有身份（人类和非人类）同时支持跨云和混合环境的安全访问。凭借内置的治理、权限和自动化工具，Microsoft Entra 让组织能够灵活管理各个层级的身份。

Microsoft Entra Workload ID

随着企业使用更多自动化、云应用程序和连接的服务，管理软件身份变得与保护人类身份同样重要。Microsoft Entra Workload ID 提供集中式工具来保护这些非人类身份 - 涵盖服务主体、应用程序和托管身份，帮助团队：
 

• 分配访问权限而无需硬编码凭据
• 跟踪软件如何跨环境连接
• 监控身份健康状况和使用情况

与 Microsoft Entra ID 保护配合，Workload ID 持续监视非人类身份的入侵迹象，例如泄露的密钥、异常登录模式或威胁情报匹配，并标记它们以立即修正。

功能

使用 Microsoft Entra Workload ID 中的功能保护大型环境中的非人类访问，例如：
 

• 自动身份发现。检测并清点 Azure 和混合环境中的任务身份，例如应用程序、服务和脚本。
• ⁠无凭据身份验证。通过使用托管身份和临时令牌进行安全的自动化访问，消除在代码中存储密码或访问密钥的需要。
• ⁠最低特权访问强制执行。应用基于角色的权限，将访问限制在每个任务所需的范围内，帮助降低身份过度访问的风险。
• ⁠工作负载条件访问。根据风险级别、位置和上下文应用实时策略，将零信任控制扩展到非人类身份。
• ⁠集中式监视和报告。通过内置日志、异常情况检测和审核就绪报告，保持对工作负载身份活动的可见性。
• ⁠与 Microsoft Entra 生态系统集成。将 Microsoft Workload ID 与 Entra ID、ID 保护、ID 治理其他其他 Microsoft 安全工具结合使用，实现统一的身份安全。

结果

使用 Microsoft Entra Workload ID 的组织能够：
 

• 自动发现和管理 Azure 和其他环境中的工作负载身份。
• 通过基于角色的访问控制和条件访问策略强制执行最小权限访问。
• 通过移除硬编码加密并启用安全的身份验证方法，加强凭据保护。
• 通过持续监视和基于活动的风险检测提升安全可见性。
• 通过集中式身份治理和策略控制简化审核和合规。

反映真实挑战的示例场景

在金融服务中自动化安全软件发布

一家金融机构使用自动化工具构建和发布面向客户的应用程序，并完成软件启动。为降低凭据泄露风险，他们使用 Microsoft Entra Workload ID 为发布周期的每个阶段分配托管身份。

这有助于组织：
 

• 消除自动化脚本中的硬编码机密。
• 按环境和任务限制对敏感金融数据和 API 的访问。
• 通过维护清晰的访问轨迹，加快合规检查。

支持医疗 IoT 系统中的可信数据交换

一家医疗服务提供商使用支持 IoT 的医疗设备收集患者遥测数据，并将这些数据发送到云端应用程序进行实时监控。每台设备都被分配一个唯一身份，使用 Microsoft Entra Workload ID 验证其真实性并确保通信安全。

采用这种方法，提供商可以：
 

• 在设备传输患者数据之前自动进行身份验证。
• 防止未授权的设备访问受监管的健康系统。
• 简化更换或停用设备时的身份管理。

保护零售自动化机器人的访问

一家大型零售连锁店使用 AI 支持的机器人来跟踪库存、补货并分析销售点趋势。每个机器人都需要对库存数据库或供应商 API 等内部系统的定制化访问权限。Microsoft Entra Workload ID 使 IT 团队能够为每个机器人分配并强制执行精确的权限。

这使企业能够：
 

• 根据每个机器人的具体功能分配访问权限。
• 通过避免宽泛的默认权限来最小化风险。
• ⁠审核活动，以符合内部和行业标准。