从人到机器:身份数量的天平正在倾斜
过去二十年,企业身份与访问管理基本围绕人设计:员工入职开账号、离职关账号,密码加多因素认证,定期做权限复核。但数字化转型走到今天,这套逻辑正在被打破。随着自动化脚本、服务账号、API密钥、容器、物联网设备以及近两年快速增加的AI智能体进入生产环境,企业中非人类身份的数量已经远超员工账号。有行业调研预计,在大型企业里机器身份与人类身份的比例可达数十比一。
这意味着,数字化流程每前进一步,就会新增一批需要被授权、被审计、被回收的数字员工。身份治理因此从一个后台IT事项,变成了数字化底座的一部分。
为什么传统做法在机器身份前失灵
- 生命周期错位:人类账号有明确的入职离职节点,机器身份常常随项目临时创建,项目结束后无人回收。
- 凭证管理粗放:密钥、令牌被写进代码、配置文件和流水线变量,长期不轮换。
- 权限过度授予:为了先跑通,服务账号往往被赋予远超实际需要的权限。
- 责任主体模糊:一个服务账号可能被多个团队共用,出问题难以追溯。
更棘手的是,AI智能体需要自主调用系统、读写数据、甚至发起交易,它的权限边界如何划定、行为如何留痕,目前在多数企业还没有成熟答案。
为什么这是数字化转型议题,而不只是安全问题
身份是数据与流程的通行证。身份梳理不清,数据流通、流程自动化、跨系统集成都会卡在授权环节;而一旦为了合规层层加锁,自动化的效率优势又被抵消。反过来,如果放任机器身份野蛮生长,一次凭证泄露就可能穿透多个系统。与此同时,数据安全法、行业监管以及等级保护要求,都在把谁在什么时候访问了什么变成必须回答的问题。
企业可以怎么起步
比较务实的路径是分三步走:
- 先盘点。建立机器身份清单,搞清楚有多少服务账号、密钥、机器人、AI代理,分别属于谁、权限多大。
- 再收口。统一凭证管理,推行短时效令牌与自动轮换,落实最小权限,把身份的创建、变更、回收与项目管理流程绑定。
- 后嵌入。把身份治理嵌入DevOps与持续交付流程,让权限申请、审批、审计成为自动化的默认动作,并为AI智能体设定可审计的行为边界。
结语
数字化转型的下一程是智能化,而智能化的前提是可信身份。当机器成为企业里数量最多的员工,身份治理就不再是安全部门的独角戏,而是架构、开发、运维与合规共同的基础工程。越早把机器身份纳入统一治理,自动化与AI的规模化之路才越稳。