IAM (Identity and Access Management)
Identity and Access Management (IAM) umfasst Technologien und Prozesse zur Verwaltung digitaler Identitäten und zur Steuerung, wer auf welche Ressourcen zugreifen darf.
Identity and Access Management (IAM) ist ein grundlegender Sicherheitsbaustein, der sicherstellt, dass die richtigen Personen zur richtigen Zeit auf die richtigen Ressourcen zugreifen können - und niemand sonst.
IAM-Kernfunktionen
Identity Lifecycle Management: Bereitstellung, Änderung und Deaktivierung von Benutzerkonten entlang des Mitarbeiter-Lebenszyklus (Joiner-Mover-Leaver-Prozess)
Authentication: Verifikation der Identität durch Passwörter, MFA (TOTP, FIDO2, Push), Biometrie oder Zertifikate
Authorization: Zugriffsentscheidungen basierend auf Rollen (RBAC), Attributen (ABAC) oder Policies
Single Sign-On (SSO): Ein Login für alle Anwendungen - erhöht Komfort und ermöglicht zentrales Session-Management
Privileged Access Management (PAM): Besondere Kontrolle für administrative Accounts: Just-in-Time-Access, Session-Recording, Passwort-Vaults
Identity Governance: Regelmäßige Zugriffsrezertifizierungen, Segregation of Duties (SoD), Compliance-Reporting
IAM-Standards und Protokolle
| Protokoll | Verwendung |
|---|---|
| SAML 2.0 | Federation, Enterprise SSO |
| OAuth 2.0 | Autorisierung für APIs |
| OpenID Connect | Authentifizierung über OAuth 2.0 |
| SCIM | Automatisierte User Provisioning |
| FIDO2/WebAuthn | Passwortlose Authentifizierung |
Zero Trust und IAM
IAM ist das Fundament jeder Zero-Trust-Architektur: Identität ist der primäre Zugangskontrollfaktor. Ohne starkes IAM ist Zero Trust nicht umsetzbar.
Im NIST SP 800-207 Framework ist Identity & Access Management die erste und wichtigste der fünf Zero-Trust-Säulen.
