開場白

今天的 D27，我們談的是雲端安全的核心：「身分與存取管理（Identity and Access Management, IAM）」。
無論你使用 AWS、Azure、或 GCP，幾乎所有的資安事件最終都會指向同一個根因：權限太多、密鑰太久沒換、或缺乏監控與審計。
身分治理（Identity Governance）就是要讓「誰能做什麼、從哪裡、在什麼情況下」變得可控、可查、可限制。

目標

• 理解雲端身分治理的關鍵原則與架構。
• 掌握最小權限、條件式存取與憑證輪替三大實務。
• 產出可驗收的「IAM 安全對照表」，作為後續雲端治理基準。

一、為什麼 IAM 是雲端安全的命脈？

• IAM 決定誰能存取哪些資源。若配置錯誤，即使防火牆與加密都到位，仍可能被誤用或濫用。
• 雲端環境中，每個「身分」都可能是攻擊面──人員帳號、機器帳號（Service Account）、API Key、CI/CD Token。
• 多數重大雲端外洩事件（如 Capital One、Uber Cloud Key 泄漏）皆源於 IAM 設定錯誤。

二、核心原則（The Big Three）

1. 最小權限原則（Least Privilege）

   • 僅賦予完成任務所需的最低權限。
   • 使用角色（Role）取代直接授權給使用者。
   • 對長期未使用的權限進行定期清理（Access Review）。

2. 條件式存取（Conditional Access）

   • 依登入地點、裝置、時間或風險等條件動態決定能否執行操作。
   • 例如：禁止海外登入、強制高風險動作需二次驗證（MFA）。
   • 在 Azure AD、Okta、Google Workspace、AWS IAM Identity Center 都有內建條件規則。

3. 密鑰輪替與憑證治理（Credential Hygiene）

   • API Key、Access Token、Service Account Key 都應定期更新。
   • 使用自動化工具（AWS Secrets Manager、Google Secret Manager、Vault）統一管理與輪替。
   • 設定密鑰過期日期與告警，避免「永久金鑰」存在。

三、身分治理的實務策略

1️⃣ 人員帳號（User Identity）

• 開啟 MFA / Passkey。
• 禁止共用帳號。
• 對離職或停用帳號自動撤銷。
• 建立帳號生命週期（建立→審核→撤銷）。

2️⃣ 服務帳號（Service Account）

• 僅允許特定服務使用；限制範圍（Scope）與 API 權限。
• 不可使用個人帳號當作機器存取憑證。
• 密鑰定期輪替（建議 ≤ 90 天），並啟用審計紀錄。

3️⃣ 權限檢查與審計

• 每季進行一次「權限檢查（Access Review）」：誰擁有什麼權限？還需要嗎？
• 啟用 CloudTrail / Activity Log / IAM Access Analyzer 等工具持續監控。
• 對異常權限（如全域管理者）設定即時警示。

四、小提醒

• 少給權限不代表安全：權限組合與授權繞過同樣危險。
• 條件式存取不是萬靈丹：若底層角色過廣，條件限制無法補救。
• 密鑰管理最容易鬆懈：很多企業用十年同一組 Access Key。
• 審計≠治理：治理包含「流程、決策、責任」，不只是看 Log。

五、可驗收輸出｜IAM 安全治理對照表

✅ 驗收條件：

• 至少涵蓋三類帳號（User、Service、API Key）。
• 每項包含風險、防禦措施、可量化指標。

小結

IAM 是雲端資安的核心控制點。
落實「最小權限 + 條件式存取 + 密鑰輪替」，可將多數風險在爆發前消滅於權限層。
身分治理並非工具問題，而是流程、決策與責任的文化。
只有在權限最小化且可追蹤的環境裡，雲端安全才有意義。