完美的配對？

　　法規遵循( C o m p l i a n c e ) 與整合(consolidation)是IT安全產業的第一要務，尤其是在身分識別與存取管理上更是如此。

　　今日的管理環境要求公司必須能夠追蹤並控制誰能夠存取什麼。同時，存取管理的工具也從各種不同分散的產品整合成為成熟的套件工具。這是透過收購來搶佔IT安全市場浪潮的一部分，大型廠商透過購併較小型的公司來擴增自己的安全套件。即使像是資料庫大廠Oracle這些不是身分識別與存取管理(IAM, Identity and Access Management)市場中的知名傳統廠商也開始跳到這塊市場中。

　　身分識別與存取管理正炙手可熱。在Forrester Research一份今年稍早所公開的研究顯示，IAM市場因透過法規遵循的驅動，將從2006年的26億美金成長到2014年的123億。

　　Forrester也指出企業為了確保跨平台的通透性，將會從單項產品轉向使用整合的、功能豐富的身分識別套件。各家公司會尋找能夠長期提供服務、和公司一起成長並提供支援的可靠廠商。各個符合需求的套件會由已經立足於產業的廠商提供。但是這些套件可能需要耗費大量時間與昂貴的成本才能被佈署，而且可能還無法實踐廠商所承諾的達到身分識別的解決之道。

市場整併
　　在2005年之前，IAM市場的傳統廠商是Novell、Sun、IBM以及Microsoft。他們提供基本的身分辨識產品來和目錄服務(directory services)進行連線，這些目錄服務像是有Active Directory (Microsoft)以及LDAP (Sun)。同時期的其他廠商還有SAP、BMC、CA以及RSA Security，提供各種像是身分識別供應(provisioning)以及認證這類身分辨識其中一項種類的服務。還有許多小型廠商提供像是角色管理與虛擬目錄(virtual directories)的產品。

　　然後在2005年發生了2件事：像是遵循沙賓法案(SOX, Sarbanes-Oxley)這類的法規開始影響市場以及市場開始發生併購的趨勢。Oracle在併購2個新興公司，使用者識別供應廠商Thor以及虛擬目錄專家OctetString時，讓產業觀察者都感到驚訝。該年Oracle隨後又併購了Oblix，一家網站存取控制的供應商。同樣在2005年，CA收購InfoSec的軟體來清理廢棄的身分識別，以及BMC獲取網站存取廠商
OpenNetwork Technologies與一家目錄管理產品的供應商Calendra。

　　2006年市場上的整併動作依然持續進行。Sun獲取Neogent，這是進行自動化身分辨識管理的一項產品。RSA則併購了網站認證公司Cyota以及PassMark，但是後續RSA卻被儲存裝置的巨人EMC給收購了。1年後，Oracle買下針對網站進行強健認證的供應商Bharosa，以及企業角色管理(enterprise rolemanagement)的軟體公司Bridgestream。同時Sun也買下了另一家角色管理廠商Vaau。Sun在3月公佈收購Vaau是一系列擴展IAM套件計畫的第一步，可以讓Sun來對抗領導廠商Oracle以及IBM。在同一時刻，IBM也收購了企業單一登入廠商Encentuate。

　　所有的這些收購行為都大大改變IAM市場，成為由少數大型廠商負責提供整合套件的模式。目前有許多小型廠商提供獨立的產品，但是以下3個領域可能會是大型廠商用來擴展他們套件的潛在目標：企業級單一登入(enterprise SSO)、虛擬目錄服務以及特定帳號管理(privileged account management)。

主要功能

　　身分識別與存取管理套件所組合的技術可以區分為4種廣泛並有相關聯的分類：身分識別管理、身分識別基礎建設、存取管理與稽核。

　　在身分識別管理之下包含使用者識別供應、角色管理、特定使用者帳號管理以及企業角色管理。了解角色管理以及企業角色管理之間的區別是很重要的。傳統的角色管理是靜態的，僅僅是根據使用者的角色與群組來進行設定。而企業角色管理是動態的，它是一種以角色為基礎的認證，可以在公司內橫跨多重事業單位以及組織部門別，可以彈性的轉移角色來因應公司因為成長以及併購後所導致使用者結構的改變。

　　身分辨識基礎建設包含了任何會持有身分識別資訊的東西：目錄(directories)、虛擬目錄(virtualdirectories)以及中繼目錄(metadirectories)。存取管理包含了像是透過單一登入技術來存取多個企業內或網站上應用程式的監視，以及類似單一登入技術的統一身分辨識管理(federated identity management)。稽核包括保存使用者的軌跡以及他們的角色，稽核的工作會有部分重疊到以上所有的管理部份。

多功能合一的好處

　　使用套件明顯的好處是它提供了完整的IAM給客戶，套件可以一次滿足IAM的4個主要功能。所有的套件都會進行使用者識別供應，而BMC、CA、IBM、Novell以及Oracle的一些大型套件則會提供企業單一登入。Evidian則是在他們的套件中強調擁有更強的單一登入與統一身分辨識管理。

　　Forrester資深分析師Andras Cser表示，為了擁有可互通性以及良好的支援，企業會選擇整合過的產品組合；套件比起單一的產品會更容易取得技術的修正。價格也是另一個因素。「就算用不到，但是如果一次購買多個功能那麼就有很高的機會能夠以較便宜的價格取得這些功能」他說。而且在大多數的情況下，套件都能夠擁有所有單一產品的功能，Cser補述。

　　除了可以協助企業解決不同產品之間的整合性問題，套件可以讓公司完成中央存取管理的功能。這些套件使用單一的圖型使用者介面(GUI)或者含有控制項目的網頁介面來進行使用者識別供應、管理角色與群組並用來管理目錄服務。

　　整合後的套件也會提供中央目錄管理，讓像是Active Directory以及LDAP這些不同的目錄服務一起運作。許多公司是使用混合的系統，大型主機、Windows以及UNIX環境，當環境成長或併購時將會整合在一起。相對於將它們目前使用中的身分辨識機制完全改換成RACF、Active Directory或者是LDAP，大部分的企業比較傾向於使用現有的目錄。它們希望能夠使用單一的工具來管理所有的目錄服務。與不同的目錄服務一起運作的需求是存在的，多種不同的目錄服務是無法簡單的被整合或者是由單一的目錄服務來取代，這也是許多大型企業所面臨的基本問題。

　　使用IAM套件的另一個好處是擁有良好的報表產出能力。報表是沙賓法案(SOX)、醫療保險可攜性與責任法案(HIPAA)以及支付卡產業資料安全標準(PCI DSS, Payment Card Industry Data Security Standard)這類產業標準與法規遵循的核心。不需要依靠Cognos或者Actuate這類產品來產出報表，套件應該要能夠產出報表並將相關資料儲存於資料庫以便後續存取。以Oracle Access Manager為例，它會利用公司的資料庫能量來儲存套件中不同元件的存取資訊。它有預先制訂好的報表會指出誰曾經存取過哪些系統來滿足遵循的要求。各種報表範本可以記錄使用者存取歷程或者是登入失敗的狀況，進而用來進行事件管理，例如登入失敗可能代表駭客進行入侵的跡象。

　　報表可能以網頁形式或紙本的方式來呈現給稽核者與管理者，且報表功能也可以與安全資訊管理系統整合在一起，CA在它們的套件中就是這樣做。

缺點

　　套件並不是萬靈丹，無法解決企業所有的IAM問題。首先，對於任何企業來說使用IAM套件可能是曠日費時且昂貴的投資。雖然投資金額取決於組織的規模，但是花費最少都是以幾十萬美金開始起跳。以一家全球性擁有數千個辦公室的企業來說，要佈署完整的套件通常都是階段性的並透過數年的時間來進行，而且還要是一切的事情都順利的被進行才能成功佈署。將IAM套件整合到公司的架構與現有的目錄服務中將會有大量的計畫被實施，這些計畫包含建立與轉移使用者、角色與群組到新的系統中。

　　其次，產品套件內的工具不是每一個都功能完美。某項產品可能在身分識別供應上很頂尖但是報表能力上卻不怎麼樣，或者是它的圖型使用者介面或網頁介面難以使用。

　　各個套件正在增加中的功能也造成各家公司難以做下購買決策。大部分公司的商業需求並不是總能被各項套件所擁有的功能給滿足。Forrester表示，因為會有更多像是稽核人員以及非技術員工這類的利害關係人參與身分辨識解決方案的選擇與購買過程，導致購買決策更加複雜。

　　雖然套件提供許多功能，但是目前都缺乏2種新的技術：虛擬目錄以及特定帳號管理。虛擬目錄會在不儲存身分辨識資料的狀況下，即時從多重來源存取身分辨識資訊以提供單一檢閱的呈現。只有透過虛擬目錄，多個目錄才可以被查詢，並由虛擬目錄來負責存取這些實際的目錄並回應身分識別查詢。虛擬目錄被作為結合了身分識別管理功能的單一登入使用。只有Oracle、Sun以及SAP提供了他們完整的虛擬目錄功能。

　　而負責保護系統管理者帳號的特定帳號管理，是遵循要求必須使用的。可是目前主要的IAM套件都沒有完整支援這項功能。

未來發展

　　當混合性的系統變得越來越複雜，不論是網頁形式、主從式架構或者是大型主機式的入口網站或應用程式，公司為了滿足遵循的要求一定會有增加存取控制的需求。未來將會增加可以進行精細設定且目前所有IAM套件都沒有的授權管理(entitlement management)。授權管理不再只是使用傳統存取管理系統的以角色與群組限制對於系統與應用程式的存取。它可以基於每天的時間點、地理位置甚至是交易的類型來進行存取的限制。

　　法規遵循的要求也影響IAM套件將持續增加多因子認證的功能。例如聯邦金融機構檢查委員會(FFIEC, Federal Financial Institutions Examination Council)在2005年的一個指令中就建議透過網站進行銀行業務時應該使用雙因子認證。所以IAM套件不再只能處理標準的帳號與密碼，現在還要能處理智慧卡、動態密碼(OTP, One-Time Password)權杖甚至是生物辨識。這樣的趨勢將會影響IAM套件必須能夠
整合邏輯與實體安全，而這個整合常常就必須以智慧卡與其他的雙因子認證裝置作為基礎。

　　IAM套件的發展是由所有產業都會有的市場鞏固以及市場對於遵循工具的需求同時驅動。遵循並不等於安全，可能會讓安全更好或更糟，遵循是領導者，而IAM套件只是追隨者。