認(rèn)證管理保證了跨越多個系統(tǒng)的用戶身份的一致性。該技術(shù)自動化戰(zhàn)略性的IT任務(wù)，結(jié)合用戶權(quán)限和用戶身份的限制，允許員工只訪問自己權(quán)限以內(nèi)的數(shù)據(jù)。目的是通過確保資源的穩(wěn)定性從而維護(hù)企業(yè)安全。另外，隨著云計算越來越多地深入到數(shù)據(jù)中心管理，基于云計算的系統(tǒng)面臨新的挑戰(zhàn)。

　　政府的規(guī)章制度要求企業(yè)對用戶的身份進(jìn)行審計，以確保與動作一致。但是最近，身份管理由于其他原因變得更加重要。在過去的幾年里，移動設(shè)備的使用已經(jīng)激增，員工使用云資源在不同的設(shè)備上工作的現(xiàn)象已經(jīng)變得普遍。身份管理系統(tǒng)允許員工在多個設(shè)備上使用相同的身份。

　　全面的身份管理系統(tǒng)還可以處理可擴(kuò)展性問題。在一個小型企業(yè)中，追蹤每個員工的帳號并不是一件具有挑戰(zhàn)性的工作。但是隨著設(shè)備和員工數(shù)量的增加，追蹤帳號使用就變得非常困難。

　　云中的身份管理更加復(fù)雜

　　技術(shù)趨勢是周期性的，身份管理就是一個完美的例子，一切舊的又變成新的。

　　很多年前，我在一家大型保險公司工作。當(dāng)時我們有一臺服務(wù)器，存儲了所有的東西。但是隨著我們終端用戶的增加，該服務(wù)器很快就不夠用了，我們不得不將資源移到新的服務(wù)器上。

　　那時，每個服務(wù)器有自己的權(quán)限機(jī)制，每個用戶需要多個用戶帳號——每個服務(wù)器都得有一個。如果用戶需要重置密碼，每個服務(wù)器上的密碼也都要重置。這種分離的用戶帳戶是一個巨大的管理負(fù)擔(dān)。

　　最后，微軟的活動目錄和Novell目錄服務(wù)等技術(shù)幫助我們解決了這些問題。即使在現(xiàn)在，活動目錄允許用戶擁有單獨(dú)的一套證書，在整個組織中都可以使用。

　　問題是，組織經(jīng)常結(jié)合使用已有的資源和云資源，這又會產(chǎn)生多個帳號問題。盡管有例外（如微軟Office 365），但大多數(shù)云應(yīng)用和組織中的本地活動目錄不同步。例如，我的云備份和我的本地活動目錄不同步。云計費(fèi)應(yīng)用程序也不例外。常見的情況是，終端用戶通過活動目錄帳號訪問本地資源，同時也擁有獨(dú)立的云應(yīng)用帳號。

　　這就產(chǎn)生了一些問題。首先，隨著組織使用越來越多的云應(yīng)用，需要記住的用戶名和密碼的數(shù)量也暴漲。盡管有人認(rèn)為分離的帳號能夠改善整體的安全性，但真正的經(jīng)驗表明，每個用戶積累的一套認(rèn)證信息不得不將記錄下來保存，從而產(chǎn)生了安全風(fēng)險。

　　分離帳號產(chǎn)生的另外一個問題是，增加管理負(fù)擔(dān)。設(shè)立新的用戶帳號會變成一個耗費(fèi)時間的過程，因為每個用戶的云應(yīng)用必須另外單獨(dú)設(shè)立。同樣，密碼設(shè)置也變得復(fù)雜，比如，用戶說不清楚到底哪個密碼需要重置。

　　為了解決這些問題，認(rèn)證管理提供給用戶一套可以普遍使用的單獨(dú)的認(rèn)證。雖然減少用戶認(rèn)證的數(shù)量能夠擺脫煩人的認(rèn)證管理現(xiàn)狀，重要的是要記住，更多的是認(rèn)證管理，而不僅僅是提供給最終用戶single sign-on功能。

　　活動目錄的限制

　　很多組織使用活動目錄作為認(rèn)證用戶的首要機(jī)制，因此考慮什么樣的活動目錄能夠用于身份管理系統(tǒng)是有意義的。

　　一般來說，活動目錄可以提供用戶認(rèn)證和資源的訪問控制（比如，活動目錄內(nèi)部資源和應(yīng)用組策略安全的資源）。活動目錄帳號允許訪問網(wǎng)絡(luò)共享文件或本地應(yīng)用。

　　活動目錄認(rèn)證還提供外部資源的訪問控制。Windows Server允許創(chuàng)建聯(lián)合信任，允許一個活動目錄森林信任另一個。如果活動目錄和另外的資源比如云應(yīng)用之間沒有信任關(guān)系，然后它沒有為資源執(zhí)行身份驗證的權(quán)限。這種的信任關(guān)系在一個組織中的終端用戶需要訪問另個收購的組織網(wǎng)絡(luò)中的資源的情況下很有幫助。這些類型的特性無需更改多個系統(tǒng)就可以對用戶進(jìn)行驗證。這種集中認(rèn)證對管理員來說是一種福利，因為它消除了成倍的手工任務(wù)。