Hệ thống Quản lý danh tính và quyền truy cập (Identity & Access Management – IAM) là khung kỹ thuật và quy trình nghiệp vụ nhằm đảm bảo rằng đúng người được truy cập vào đúng tài nguyên vào đúng thời điểm vì đúng lý do.
Trong các hệ thống số hiện đại, IAM không chỉ là việc quản lý tên đăng nhập và mật khẩu, mà còn là một hệ thống quản trị rủi ro phức tạp.
1. Bốn trụ cột của IAM (The 4 A’s)
Một hệ thống IAM tiêu chuẩn luôn xoay quanh 4 quy trình cốt lõi:
- Authentication (Xác thực): Kiểm tra xem “Bạn là ai?”. Hệ thống xác minh danh tính qua mật khẩu, OTP, sinh trắc học hoặc khóa bảo mật vật lý.
- Authorization (Ủy quyền): Sau khi biết bạn là ai, hệ thống xác định “Bạn được phép làm gì?”. Ví dụ: User chỉ được xem, trong khi Admin được quyền sửa/xóa.
- Accounting/Auditing (Ghi nhật ký): Theo dõi “Bạn đã làm gì?”. Mọi hành động truy cập, thay đổi dữ liệu đều được lưu vết để phục vụ việc kiểm tra bảo mật hoặc điều tra sự cố.
- Administration (Quản trị): Quy trình cấp phát, thu hồi tài khoản và thiết lập các chính sách bảo mật cho toàn hệ thống.
2. Các mô hình kiểm soát truy cập
Hệ thống số thường sử dụng một trong các mô hình sau để quản lý quyền:
| Mô hình | Đặc điểm | Trường hợp sử dụng |
|---|---|---|
| RBAC (Role-Based) | Phân quyền dựa trên Vai trò. (Ví dụ: Nhóm “Kế toán” có quyền xem hóa đơn). | Phổ biến nhất, dễ quản lý cho tổ chức vừa và lớn. |
| ABAC (Attribute-Based) | Phân quyền dựa trên Thuộc tính (Vị trí địa lý, thời gian, loại thiết bị). | Các hệ thống yêu cầu bảo mật cao, linh hoạt. |
| DAC (Discretionary) | Chủ sở hữu dữ liệu tự quyết định ai có quyền truy cập. | Quản lý tệp tin cá nhân (Google Drive, Dropbox). |
| MAC (Mandatory) | Quyền truy cập do hệ thống chỉ định dựa trên mức độ mật (Top Secret, Confidential). | Hệ thống quân đội, chính phủ. |
3. Đặc điểm kỹ thuật nổi bật
Hệ thống IAM hiện đại tập trung vào trải nghiệm người dùng và tính bảo mật tập trung:
- SSO (Single Sign-On – Đăng nhập một lần): Cho phép người dùng chỉ cần đăng nhập một lần duy nhất để truy cập vào nhiều ứng dụng khác nhau trong hệ thống (Ví dụ: Dùng một tài khoản Google cho Gmail, Drive, Youtube).
- MFA/2FA (Xác thực đa yếu tố): Lớp bảo vệ bắt buộc hiện nay. Ngay cả khi lộ mật khẩu, kẻ tấn công vẫn không thể vào được nếu không có yếu tố thứ hai (điện thoại hoặc vân tay).
- Centralized Management (Quản lý tập trung): Thay vì mỗi ứng dụng có một danh sách người dùng riêng, tất cả đều kết nối về một “nguồn sự thật” duy nhất (như Active Directory, LDAP).
- Provisioning & De-provisioning: Tự động hóa việc tạo tài khoản cho nhân viên mới và quan trọng nhất là khóa toàn bộ quyền truy cập ngay lập tức khi nhân viên nghỉ việc để tránh rủi ro rò rỉ dữ liệu.
4. Quản lý tài khoản đặc quyền (PAM)
Đây là một phân vùng đặc biệt trong IAM dành cho các tài khoản “quyền lực” nhất (như Root, Administrator, SysAdmin):
- Giám sát chặt chẽ: Các tài khoản này thường bị ghi lại toàn bộ thao tác màn hình khi làm việc.
- Mật khẩu dùng một lần: Cấp quyền truy cập tạm thời (Just-In-Time) thay vì cấp vĩnh viễn.
5. Xu hướng: Identity-as-a-Service (IDaaS)
Giống như các hệ thống khác, IAM cũng đang chuyển dịch mạnh mẽ lên Cloud với các dịch vụ IDaaS (như Auth0, Okta, Firebase Auth).
- Lợi ích: Không cần tự xây dựng logic đăng nhập/đăng ký phức tạp, đảm bảo tiêu chuẩn bảo mật quốc tế và dễ dàng mở rộng khi số lượng người dùng tăng lên hàng triệu.
Triết lý cốt lõi: IAM chuyển dịch từ “Bảo vệ tường biên” sang “Lấy danh tính làm tường biên”. Trong thế giới làm việc từ xa, danh tính của bạn chính là lớp bảo vệ cuối cùng.