与人类相似，机器必须出示凭据才能访问系统和 数据。但人类依赖用户名、密码及 多重身份验证 (MFA)，而机器则依赖密钥和证书等设备凭据。
这些凭据允许机器证明其身份。常见形式包括用于安全网络连接的 TLS 证书、用于远程访问的 SSH 密钥以及由 公钥基础设施 (PKI) 颁发的用于设备认证的设备证书。
随着 机器间通信 的增长，保护机器身份免受网络威胁 已成为一项重大挑战。根据 IBM X-Force 威胁情报指数，身份类攻击——即 网络犯罪分子 滥用有效账户凭据访问网络——占 数据泄露事件的 32%。
现代基础设施也可能使机器身份管理更加困难。IT 环境规模快速扩展，设备频繁供应与退役，并且需要不断更新凭据。
MIM 有助于为这种复杂性建立秩序并改善 网络安全。它使安全团队能够发现设备凭据所在的位置，自动化轮换与吊销流程，执行安全策略，并监控凭据的过期或滥用情况。
借助 MIM，组织可以支持 零信任 架构，减少未经授权的访问、数据泄露以及因证书过期导致的服务中断。它们还可以限制密钥泄露的潜在影响范围，并收集合规监管所需的审计跟踪记录。
在身份安全领域， 非人身份 (NHI) 是指分配给非人“用户”的数字身份，例如应用程序、服务、工作负载、容器、API、机器人、AI 智能体 及设备。
NHI 是非人身份的一个子集，专门与设备相关联，例如服务器、虚拟机、端点、网络设备或物联网设备。
机器身份一词有时被宽泛地用作所有非人身份的统称，尽管这种用法在技术层面并不准确。机器身份管理则专门聚焦于管理机器身份及其凭据。
话虽如此，机器经常与通过服务账户及 API 密钥等凭据进行身份验证的软件和服务进行交互。MIM 方案通常与更广泛的非人身份管理与治理工作一同实施。
AI 智能体的兴起也进一步模糊了非人身份与机器身份之间的界限。AI 智能体常常通过工作负载和服务身份来执行工作，甚至可以 在不同系统间委派任务。这意味着它们经常处于非人身份与机器身份的交叉领域运作。
加入安全领导者的行列，订阅 Think 时事通讯，获取有关 AI、网络安全、数据和自动化的精选资讯。快速访问专家教程和阅读解释器，我们会将这些内容直接发送到您的收件箱。请参阅 IBM 隐私声明。
估算比例从 45:1 到 92:1 不等，但在大多数 IT 环境中，非人身份的数量远超人类身份。
在云基础设施和 软件即服务 (SaaS) 的采用、分布式系统和 微服务 的兴起以及互联设备增长的推动下，IT 环境持续演变。每经历一次演变，机器的数量以及凭据的种类都会随之增加。
除了数量庞大之外，机器凭据对网络犯罪分子也极具吸引力。与人类用户不同，机器通常持续运行、自动进行身份验证，并且无法依赖交互式控制措施，例如 MFA 提示。此外，机器在网络和工作流中往往被默认信任，这可能会在凭据遭到泄露时加剧影响程度。
与机器身份相关的一些最常见安全风险包括：
系统中机器身份的绝对数量，以及新设备和实例的供应速度，可能导致可见性难以实现，从而产生网络犯罪分子可趁机潜入的缺口。
许多组织在停用服务器、淘汰虚拟机镜像或将设备从服务中移除时，也常常忽视正式注销机器身份。这些旧身份通常处于无人监控状态，且其权限完好无损。
由于机器身份是核心工作流不可或缺的一部分，它们通常被授予对敏感数据的特权访问权限。为了确保这些流程“顺畅运行”，组织往往会授予设备凭据超出其实际所需的广泛权限。
设备及设备管理系统通常连接至第三方平台（例如，物联网设备群管理或设备监控供应商）。但若来自这些第三方平台的凭据遭到泄露，攻击者便可跨环境横向移动。
当服务器退役、虚拟机镜像淘汰或设备停止使用时，旧凭据可能会继续留存。若缺乏系统性的吊销与注销机制，这些孤立的设备凭据便可能成为安全风险。
组织通常需要管理若干种机器身份凭据，每种凭据均具有独特的特性与安全要求。
机器身份管理可自动化并运营化机器身份的整个生命周期，对凭据从颁发到注销的全过程进行管理。
机器身份管理生命周期的核心阶段包括：
发现阶段涉及扫描网络、云环境、证书存储库及应用配置，识别所有正在使用的设备凭据，包括正式 IT 系统之外的凭据。
安全团队常常能发现他们甚至不知其存在的凭据，例如遗忘服务器上的 SSH 密钥或遗留系统中嵌入的设备证书。
当新的机器身份建立或被识别时，MIM 即需要为该身份颁发新的凭据。正式的 MIM 方案使组织能够通过受控、可审计的流程创建凭据，而非依赖临时、手动处理。
在配置阶段——即向正确的机器授予正确的凭据时——组织通常会力求遵循 最小权限原则，仅授予每台机器执行其功能所需的精确访问级别。
例如，在云中创建的虚拟机可在 IAM 系统中被分配特定身份。随后，MIM 可帮助确保该虚拟机自动接收其所需的短期凭据。这些凭据仅允许其访问本应使用的特定云资源——例如单个存储桶或机密保险库——而无需在机器上存储长期访问密钥。
轮换意味着定期或在疑似泄露后更换凭据。该过程涉及颁发新的证书或密钥，并废止旧的。
凭据在设计上具有有限的有效期。例如，TLS 证书通常在 90 天至一年后到期。这种有限的有效期具有双重目的。
其一，它缩短了攻击者的可乘之机。若凭据遭窃，轮换后即告失效。
其二，定期轮换有助于防止因证书过期而导致的服务中断，此类中断常令 IT 团队措手不及。
自动化通过消除手动追踪的需要，使轮换与续期得以大规模进行。机器身份管理平台无需依赖电子表格与日历提醒，可通过凭据清单监控到期日期，并自动触发证书续期及密钥轮换。
必要时——例如证书遭泄露或设备退役时——MIM 可立即吊销证书。吊销通常涉及将证书添加至证书吊销列表，或使用在线证书状态协议 (OCSP) 响应器——即实时响应证书是否仍然有效查询的服务器。
注销还涉及在设备及基础设施组件退役时，对凭据进行常规移除。对于仅存在数秒或数分钟的临时资源，MIM 有助于确保在资源销毁时自动完成注销。
若干技术与实践构成了 MIM 的基础。其中最重要的包括：
公钥基础设施是一个通过数字证书来分配、识别及验证用户身份的综合性框架。它是许多组织用于颁发、管理及吊销数字证书的主要框架。
证书颁发机构 (CA) 在验证请求实体（例如服务器、设备或组织）的身份后颁发证书。证书包含有价值的信息，例如请求实体的公钥及 CA 的数字签名，这些信息有助于证明实体的身份。
例如，当 Web 服务器需要 TLS 证书时，它会向 CA 提交请求（通常采用证书签名请求的形式）。CA 验证请求后颁发证书。服务器随后便可使用该证书建立 HTTPS 连接。
在某些 PKI 部署中，注册机构 (RA) 也可在 CA 颁发证书之前批准证书请求。RA 通过增加审批步骤并强制实施职责分离来增强安全性。
CLM 工具可自动化证书的发现、跟踪、续期及吊销。它们提供跨混合环境（涵盖云及本地系统）的集中可见性。CLM 工具可提醒管理员即将到期的证书，并触发自动化工作流以续期、轮换及吊销凭据。
例如，CLM 工具可能发现组织云环境及本地环境中存在 500 份证书，标记出 30 份将在 30 天内到期的证书并自动为其续期——无需人工干预即可防止服务中断。
机密管理 解决方案能够安全存储并轮换基础设施自动化及设备管理工作流所使用的凭据（例如 SSH 密钥及其他特权机密）。机密管理工具使团队能够将设备机密存放于受保护的保险库中，而非代码仓库或其他不安全的位置。
机密管理工具通常可与 DevOps 工作流集成，帮助按需供应凭据、执行访问策略并维护审计日志。
特权访问管理 (PAM) 工具有助于管理高特权凭据。它们通常提供会话监控及即时供应等功能——仅在需要时授予访问权限，并在事后自动吊销。
例如，PAM 可供应临时 SSH 凭据，该凭据在维护窗口结束后即告失效，从而减少长期存在的特权，而非赋予工程师对生产服务器的永久根访问权限。
HSM 是用于存储私钥的防篡改硬件设备。即使攻击者访问服务器，它们也能保护加密材料免遭提取。HSM 对于金融服务及合规监管通常颇具价值。
例如，银行可能将其支付处理证书的私钥存储于 HSM 中，这有助于确保即使网络犯罪分子攻破应用服务器，密钥也无法被提取。
MIM 与 身份和访问管理 (IAM) 均为 身份安全的一部分，身份安全侧重于保护数字身份及其管理系统。
主要区别在于各自保护的对象。IAM 主要聚焦于人类用户，而 MIM 则聚焦于机器。
IAM 系统通常采用交互流程——密码输入、MFA 提示、生物识别——这些流程假定有人员在场，而 MIM 必须采用无人为干预的自动化凭据交换。
现代身份安全方案通常同时需要 IAM 及 MIM，并且多数 身份治理与管理 (IGA) 框架会将机器身份与人类身份同等对待。机器具有与人类用户相似的治理需求。在这两种情况下，组织都必须跟踪存在哪些身份、它们能够访问什么内容，以及这些访问权限随时间推移是否仍然适当。
MIM 可帮助组织加强安全性、维持正常运行时间并简化合规工作。
MIM 提供跨企业整个生态系统的设备凭据统一视图。
此功能可使安全团队更易识别漏洞——孤立的凭据、过度的权限、即将到期的证书——并在黑客发起攻击之前加以修复。
自动化策略执行还可帮助 IT 团队一致地应用安全标准，降低因可被利用的错误配置而导致的风险。
过期证书是造成意外停机的常见原因。若无有效证书，机器便无法进行身份验证或建立加密连接，这可能导致服务离线或故障。自动化证书管理可通过在凭据到期前为其续期，帮助防止此类中断。
MIM 可帮助组织维持对各项法规的合规性，例如 《通用数据保护条例》(GDPR)、 《支付卡行业数据安全标准》(PCI-DSS)、《健康保险流通与责任法案》(HIPAA) 及 《萨班斯-奥克斯利法案》(SOX)。MIM 记录凭据归属、轮换历史及对敏感系统的访问情况，从而更易提供审计跟踪记录并简化合规审查流程。
MIM 可使 IT 基础架构的扩展更为轻松，支持云工作负载、容器及互联设备的快速增长，而无需成比例增加管理工作量。它通过自动化凭据颁发、轮换及吊销来实现这一点，使 IT 团队在环境不断发展的同时，更易保持身份安全。
无缝扩展日益重要，因为组织正在扩展其微服务、物联网设备及 AI 智能体的生态系统，而每新增一项都会引入新的机器身份与凭据，且必须在整个生命周期内加以管理。
零信任要求对每一个连接（无论是人还是机器）进行持续验证。MIM 可通过发现并编录机器身份，使持续验证切实可行——这是必要的第一步，因为组织无法验证其尚未识别的凭据。它还可通过自动化访问控制并在各环境中一致应用，来支持最小权限原则。
尽管优点众多，组织在实施和运行 MIM 时仍可能面临挑战。
机器凭据很少通过单一系统或安全解决方案进行管理。安全团队可能使用一种工具管理 PKI 证书，而使用另一种工具进行机密管理，同时运维团队则完全自行维护其凭据。这种工具碎片化可能造成显著的可见性缺口与策略不一致。
人类用户通常有管理者定期批准访问请求并审查权限。机器身份则可能缺乏相应的监督。例如，当供应凭据的工程师更换岗位或离开组织时，问责可能随之消失。若无明确的所有权归属，凭据可能多年未经审查。
MIM 依赖自动化。但完全自动化的轮换可能会破坏预期凭据保持静态的应用程序与系统，例如嵌入配置中的密钥——当系统突然无法进行身份验证时即导致服务中断。组织必须在足够的自动化以实现其目标，与充分的监督以在错误进入生产环境前发现错误之间取得平衡。