管理或审查不足之身份认证管理薄弱

3.2.6  管理或审查不足

3.2.6.1  身份认证管理薄弱

传统的网络安全模型中，针对网络终端用户的安全接入和访问控制已有成熟的解决方案，但是在云计算环境下，对云端用户的安全接入和访问控制出现一些新的要求，特别是在基础设施即服务的模型中，云服务提供商需要为每个用户提供自助服务管理界面，并针对不同企业或类型的租户提供差异化的用户身份认证管理授权策略，以确保合法的用户访问正确的服务器。动态的云计算资源及访问资源的海量用户和服务，为身份基础设施服务的可扩展性、自动化和可用性需求带来挑战。同时，云服务提供商也需要在用户访问行为的日志记录和安全事件的报告分析方面提供差异化的解决方案，参与该解决方案的用户认证网关、AAA认证授权平台在相关的多实例和多域支持方面要有更加严格的要求。薄弱的用户验证机制，或者单因素的用户密码验证都可能产生安全隐患，而云自助服务管理门户的潜在安全漏洞也将导致各种未经授权的非法访问，从而产生新的安全风险。

同样在典型的安全管理模式下，业务系统通常部署在服务提供商可监控的范围之内，服务提供商通过虚拟局域网、入侵检测系统、入侵防护系统及多因素身份认证等网络安全控制手段，对网络和系统进行安全访问。而在云计算环境下，云计算的多层服务模式使得云服务提供商的网络和系统迁移到其他服务提供商的监控范围内，这种控制权的丢失，对云服务提供商已有的信任管理和控制模式形成了巨大挑战。

此外，云服务提供商目前所支持的身份认证管理实践和标准不足，随着网络边界的持续消退，在保护用户知识产权和敏感信息及保持合规性等方面，云服务提供商面临更大的风险。