3.2.6  管理或審查不足

3.2.6.1  身份認證管理薄弱

傳統的網絡安全模型中，針對網絡終端用戶的安全接入和訪問控制已有成熟的解決方案，但是在云計算環境下，對云端用戶的安全接入和訪問控制出現一些新的要求，特別是在基礎設施即服務的模型中，云服務提供商需要為每個用戶提供自助服務管理界面，并針對不同企業或類型的租戶提供差異化的用戶身份認證管理授權策略，以確保合法的用戶訪問正確的服務器。動態的云計算資源及訪問資源的海量用戶和服務，為身份基礎設施服務的可擴展性、自動化和可用性需求帶來挑戰。同時，云服務提供商也需要在用戶訪問行為的日志記錄和安全事件的報告分析方面提供差異化的解決方案，參與該解決方案的用戶認證網關、AAA認證授權平臺在相關的多實例和多域支持方面要有更加嚴格的要求。薄弱的用戶驗證機制，或者單因素的用戶密碼驗證都可能產生安全隱患，而云自助服務管理門戶的潛在安全漏洞也將導致各種未經授權的非法訪問，從而產生新的安全風險。

同樣在典型的安全管理模式下，業務系統通常部署在服務提供商可監控的范圍之內，服務提供商通過虛擬局域網、入侵檢測系統、入侵防護系統及多因素身份認證等網絡安全控制手段，對網絡和系統進行安全訪問。而在云計算環境下，云計算的多層服務模式使得云服務提供商的網絡和系統遷移到其他服務提供商的監控范圍內，這種控制權的丟失，對云服務提供商已有的信任管理和控制模式形成了巨大挑戰。

此外，云服務提供商目前所支持的身份認證管理實踐和標準不足，隨著網絡邊界的持續消退，在保護用戶知識產權和敏感信息及保持合規性等方面，云服務提供商面臨更大的風險。