“一談到身份管理和認證，在‘地面上’上看到的所有漏洞，同樣也會出現(xiàn)在云中，”Gartner公司分析師Perry Carpenter說道。但是，云還引進了其自身的特色和問題。

Gartner認為，云計算身份管理有三個不同方面。一是，身份管理到云端，能夠從企業(yè)中發(fā)送一些信息到云端，二是，云計算到身份管理，能夠從云或者其他一些已經(jīng)存在的地方發(fā)送信息到組織機構(gòu)中，三是，云到云的身份管理。

每個方面都有不同的風(fēng)險。在企業(yè)機構(gòu)中，采用身份管理服務(wù)本身相對較少。只發(fā)生在所支持的特定業(yè)務(wù)活動，只是為了在云計算中有ID管理。

“我們很難把安全相關(guān)的東西與云分開，這意味著需要更成熟的技術(shù)，”他說。另一方面，一些中小企業(yè)也開始介入。

法律期望和服務(wù)等級協(xié)議（SLA）

這是全方位的挑戰(zhàn)。“在云中有像Google Apps、Salesforce.com和Workday一樣的東西。識別組件是后來添加的東西，事實上，這種后來添加的東西會攜帶固有的弱點，”Carpenter說。

Carpenter指出，很多云安全問題歸結(jié)起來就是法律的期望和服務(wù)等級協(xié)議(SLA)，它不了解技術(shù)。“我們稱它為云，是因為想讓它更有吸引力，但是，這些根本問題已經(jīng)有一段時間了。”而云又添加了一些自己的問題。“首先，每個云廠商都有自己私有的身份管理系統(tǒng)。所以，沒有萬無一失的方法，如果我能夠在一個上下文中獲得正確的身份管理，在另一個上下文中也會正確，”他說。

此外，IT歷史表明，當你處理多個不兼容的系統(tǒng)時，也會導(dǎo)致故障。我認為最好是，客戶之間有一個標準的接口，更多插件播放的方式。

SAML和Oauth

然而，在此期間，Gartner分析師Gregg Kreizman一直在尋找正確的方法。他用身份識別與存取管理（IAM）來形容這次挑戰(zhàn)。Carpenter指出，同種身份的島嶼或者已經(jīng)存在的孤島可以復(fù)制到云中。

因此，SaaS提供商開始重塑IAM功能，例如，申請聯(lián)合的API和認證，實現(xiàn)類似單點登錄的功能。

“企業(yè)現(xiàn)在已經(jīng)開發(fā)了IAM，并把已經(jīng)完成的內(nèi)容擴展到云和他們的SaaS應(yīng)用中，”他說。據(jù)Kreizman所說，認證方面的挑戰(zhàn)已經(jīng)有些成熟了。然而，公有云的成功還需要API或者企業(yè)基礎(chǔ)設(shè)施的web服務(wù)。

Kreizman說，傳統(tǒng)的IAM廠商已經(jīng)為他們的盟友擴展他們的產(chǎn)品了，擴展連接器可以與云資源結(jié)合，如Google Apps和SalesForce。另一個趨勢是新興的IAMaaS市場——IAM作為一個服務(wù)——憑借聚集小廠商，提供核心的IAM功能到云中去或者是從云中獲取。IAMaaS公司實現(xiàn)了連接部件或者是在客戶端提供網(wǎng)關(guān)，在云中加入他們的服務(wù)，并連接SaaS廠商。

傳統(tǒng)的IAM廠商也在云中建立服務(wù)，更像是網(wǎng)關(guān)提供商的服務(wù)。例如，Lighthouse的計算機服務(wù)已經(jīng)采用了IBM的Tivoli軟件堆，“把它封裝起來，使它更容易使用。”他指出，他們可以為內(nèi)部的應(yīng)用程序提供一個相似的功能。

但是，這只是暫時的，Kreizman說，沒有一個成功的準則。“采用這些服務(wù)有些惶恐。一些機構(gòu)不想把身份數(shù)據(jù)或者其他敏感信息放到云中。然而，一些想‘檢驗是否有問題疏漏’。”

Kreizman說，那些努力克服IAM問題的人應(yīng)該熟悉一些相關(guān)的技術(shù)，如：

認證端的安全斷言標記語言（SAML），就聯(lián)盟而言，它是主要的贏家，因為它提供了單點登錄的能力。OpenID Connect（OpenID的替代品，基于OAuth2.0協(xié)議）也出現(xiàn)了，可能會更有用。OpenID Connect是一套輕量級規(guī)范，能夠通過RESTful API為身份合作提供一個框架，

Oauth的建立是作為訪問云中資源的一種手段，他已經(jīng)被主要的參與者認同，如Facebook和Twitter。

簡單的云身份管理（SCIM）是由一些廠商支持的規(guī)范，（依照它的助推器）建立在現(xiàn)有的模板之上，并以降低開銷和用戶管理復(fù)雜度為目標。

還有一種U-MA — 用戶管理訪問。Kantara的提議，U-MA大本營，一個U-MA的授權(quán)web用戶可以一次性授權(quán)web應(yīng)用的請求，不斷訪問包含存儲在“個人數(shù)據(jù)”服務(wù)主機的地址資源,由授權(quán)決策服務(wù)（授權(quán)管理器）充當訪問決策來告訴主機。