内容概述：
保护云应用和用户。该模块涵盖了云部署的身份管理和应用程序安全。主题包括结成同盟身份和不同的IAM应用程序、安全开发以及管理云中的应用程序安全。

知识架构图：

保护云应用和用户域包括（源自于：CSA云安全指南-M5）：

一、应用安全

云计算主要为应用程序带来安全优势，但与大多数云技术领域一样，带来了机会和挑战。其中机会有：更高的安全基线、响应能力更高、隔离环境、独立的虚拟机、弹性、DevOps、统一接口；其中挑战有：可见性受限、管理平台/元结构直接影响任何应用程序安全性、不断变化的威胁模型、更少的透明度。

安全软件开发生命周期(SSDLC) 描述了在应用程序开发、部署和操作的各个阶段中的一系列安全活动。无论使用哪种特定的SSDLC，云计算都将影响SSDLC的每个阶段。

云计算所支持安全应用程序设计和开发有五个主要阶段：培训、定义、设计、开发和测试。

自动化部署在云环境中往往更加突出，自动化的安全性测试非常频繁的集成到部署管道。

脆弱性评估可以集成到CI/CD管道中，并且相当容易地在云中实现。有两种具体的模式，一种是：针对镜像或容器进行完整的评估；另一种是：通过过使用基础设施作为代码构建一个测试环境来测试整个基础结构。

与脆弱性评估一样，未经云提供商的许可，几乎肯定会有渗透测试的限制。

CI/CD管道通过支持不可变的基础设施（减少对生产环境的手工更改）、自动化安全性测试以及当这些更改通过管道运行时应用程序和基础设施的大量日志记录，可以增强安全性。配置正确后，日志可以跟踪每个代码、基础架构和配置更改，并将它们与提交更改的提交人和批准的人联系起来；它们还将包括任何测试结果。

生产环境可以比非云应用程序部署中通常可能的更紧密，其中大部分基础架构都手动配置为规范。当安全性正常进行时，使用基础设施作为代码和不可变的部署可以显着提高安全性。

云计算本质会在首选应用设计、体系结构和模式中创造了变化。其中一些与安全无直接关系，但以下趋势有助于减少常见安全问题，包括：默认隔离、不可变的基础设施、增加使用微服务、PaaS 和“无服务器”体系结构。

所有服务类型的云提供商需要特别注意其应用服务的某些方面，包括：需要对API和WEB服务进行广泛的强化，并假设来自身份验证和未验证的对手的攻击。这包括使用专门为API设计的行业标准认证；应监测API的滥用和异常活动；服务应经过广泛的设计和测试，以防止攻击或不当/意外的跨租户访问。

SecDevOps/DevSecOps和Rugged DevOps：用来描述将安全活动整合到DevOps的过程。其中，SecDevOps/DevSecOps有时指的是使用DevOps自动化技术来改进安全操作；Rugged DevOps指的是将安全测试整合到应用程序开发过程中，以产生更加坚固、更安全、更具弹性的应用程序。

二、身份、权限和访问管理

云计算的出现，对于内部系统的传统IAM管理引入了许多变化，这并不是说这些都是新问题，但在处理云的IAM管理时是更大的问题。关键的区别是云提供商和云消费者之间的关系，IAM不能仅仅由一方或另一方来管理，因此需要建立信任关系，通过责任指定和技术机制来实现，通常情况下，我们将这种方式归结为联邦。

安全鉴别标记语言SAML 2.0 是联合身份管理的OASIS标准，支持身份验证和授权。它使用XML来在身份提供者和依赖方之间做出鉴别。OAuth是一种非常广泛用于Web服务的IETF授权标准（包括消费者服务），旨在通过HTTP进行工作。OpenID是联邦认证非常广泛支持的Web服务标准，它是基于URLs 的HTTP对身份提供商和用户/身份进行识别。

云提供商需要几乎总是支持直接访问服务的用户的内部身份、标识符和属性，同时还支持联邦，以便组织不必手动配置和管理供应商系统中的每个用户，并颁发每个人的独立凭据。

云消费者需要决定他们希望在哪些地方管理自己的身份，以及他们希望支持哪些架构模型和技术，并与云提供商集成。

云计算对身份验证的最大影响是使用多因素强身份验证，多因素认证为减少账户的恶意利用提供了最好的选择。

云以多种方式影响权限、授权和访问管理，包括：云提供商和平台需要具有一套自身潜在授权机制，云提供商负责强制授权和访问控制，云消费者负责定义权限并在云平台中正确配置它们，ABAC是基于云的访问管理的首选模式。

使用一个更高水平保证措施，如凭证控制，数字证书，物理和逻辑上独立的访问控制点，以及堡垒机等单独严格控制的系统，对特权用户的登录行为进行控制更为有益。

测一测，看看您掌握了多少？
M5：保护云应用和用户域的相关测试：https://jinshuju.net/f/zQx1Qp