零信任框架近年在国内发展趋于成熟，落地案例也越来越多，在抵御诸如网络钓鱼的常见、勒索病毒等攻击中起到了重要作用，其中身份和验证、决策和授权是零信任框架落地过程中至关重要的挑战。云安全联盟大中华区发布报告《面向IAM的零信任原则与指南》（以下简称指南）, 旨在通过零信任的视角来审视现存和新的身份、访问管理和云解决方案，提出身份和验证、决策和授权的最佳实践。

主体被验证完成后，需要基于决策因子来完成访问控制的决策过程，那么需要收集整个访问过程每个阶段详细的信息，包括主体、网络、资源相关属性和标签，甚至结合第三方威胁情报和日志，把身份属性、访问上下文、决策因子全部动态和静态数据转化为策略代码，然后被规则引擎使用，对访问过程进行访问控制，下图清晰的展示了如何将决策因子定义便捷地转化为策略代码。

通常基于组织管理的单一可信权威身份源，通过基于角色的访问控制（RBAC）和基于属性的访问控制（ABAC）来对访问过程进行控制；而在零信任中我们寻求基于风险的访问控制，在请求者和资源之间的交互流程中我们创建更加精细的策略，策略就是在零信任环境中定义明确的授权方式，利用决策因子进行访问控制和策略决策；对于决策失败的情况需要事先定义不满足授予访问条件时采用的解决方案，加强策略决策过程的逻辑闭环。

本指南展示了基于身份来控制对数据或系统（资源授权）的访问可以获得的商业业务价值，包括提高安全性、提高合规性、减少摩擦、提高敏捷性、提高生产力和降低成本。零信任模型秉持“永不信任、持续验证”的理念，对访问的数据和业务系统进行安全风险评估验证，并且这种验证不仅仅针对访问者本身，也包括基于身份的设备标识、组织标识、代码标识和代理标识。

零信任架构解决方案势必会与IAM技术结合更加紧密，而IAM技术发展路径上也会借鉴零信任思想构建一个更加安全的访问控制方案，本指南结合零信任对身份和访问管理进行了细致说明，为企业实施零信任架构或策略时提供了访问控制过程中的最佳实践。