3.2.6  管理或審查不足

3.2.6.1  身份認證管理薄弱

傳統(tǒng)的網(wǎng)絡安全模型中，針對網(wǎng)絡終端用戶的安全接入和訪問控制已有成熟的解決方案，但是在云計算環(huán)境下，對云端用戶的安全接入和訪問控制出現(xiàn)一些新的要求，特別是在基礎設施即服務的模型中，云服務提供商需要為每個用戶提供自助服務管理界面，并針對不同企業(yè)或類型的租戶提供差異化的用戶身份認證管理授權策略，以確保合法的用戶訪問正確的服務器。動態(tài)的云計算資源及訪問資源的海量用戶和服務，為身份基礎設施服務的可擴展性、自動化和可用性需求帶來挑戰(zhàn)。同時，云服務提供商也需要在用戶訪問行為的日志記錄和安全事件的報告分析方面提供差異化的解決方案，參與該解決方案的用戶認證網(wǎng)關、AAA認證授權平臺在相關的多實例和多域支持方面要有更加嚴格的要求。薄弱的用戶驗證機制，或者單因素的用戶密碼驗證都可能產(chǎn)生安全隱患，而云自助服務管理門戶的潛在安全漏洞也將導致各種未經(jīng)授權的非法訪問，從而產(chǎn)生新的安全風險。

同樣在典型的安全管理模式下，業(yè)務系統(tǒng)通常部署在服務提供商可監(jiān)控的范圍之內，服務提供商通過虛擬局域網(wǎng)、入侵檢測系統(tǒng)、入侵防護系統(tǒng)及多因素身份認證等網(wǎng)絡安全控制手段，對網(wǎng)絡和系統(tǒng)進行安全訪問。而在云計算環(huán)境下，云計算的多層服務模式使得云服務提供商的網(wǎng)絡和系統(tǒng)遷移到其他服務提供商的監(jiān)控范圍內，這種控制權的丟失，對云服務提供商已有的信任管理和控制模式形成了巨大挑戰(zhàn)。

此外，云服務提供商目前所支持的身份認證管理實踐和標準不足，隨著網(wǎng)絡邊界的持續(xù)消退，在保護用戶知識產(chǎn)權和敏感信息及保持合規(guī)性等方面，云服務提供商面臨更大的風險。