摘要
随着身份成为AI与智能体技术驱动下的新安全边界，加之企业内部的巨大变革，身份治理与管理（IGA）正从缓慢且合规驱动的流程转向敏捷、智能的控制系统。今年早些时候发布的《保护身份攻击面：身份安全新战场深度剖析》已探讨了身份领域的部分新兴趋势。
在本报告中，我们将深入网络安全领域最大的市场类别之一。阅读本文前，请关注以下核心要点：
身份治理是一个规模达500亿美元的赛道，由身份、云安全与合规需求的融合驱动。市场领导者SailPoint是今年首批IPO的企业之一，估值达100亿美元，年收入近10亿美元。
本报告旨在帮助读者建立对身份治理与权限管理（IGA）的基础认知，剖析其核心概念、实际应用及战略价值——它将是未来身份安全的关键支柱。我们希望这份报告兼具教育性与实操性，助您实现IGA现代化，并自信应对不断演变的身份安全格局。
IGA至关重要，因为它管理着组织内（无论云端、本地还是混合环境）“谁有权访问什么”。随着身份成为新的安全边界，IGA确保访问权限的合理性、合规性及持续审查。
企业领导者普遍反映，IGA的最大痛点在于：入职、离职等基础身份事件仍依赖工单、邮件和电子表格处理。这不仅低效，还存在风险。以下是我们听到的IGA现状挑战：
SACR与三家特色厂商合作，重点展示了它们如何解决身份安全生态中的核心痛点。报告末尾将总结它们的架构与能力。
本报告揭示了自动化技术在五大关键领域如何帮助企业提升安全性、降低运营摩擦与复杂度。这些洞察基于行业研究、厂商能力及财富500强企业的实践经验。当身份生命周期事件实现自动化并与HR、IT系统打通时，企业不仅能减少冗余工作，还能封堵攻击者偏好的关键访问漏洞。
IGA身份市场生态
IGA生态已演变为动态且碎片化的市场，身份蔓延的复杂性、云优先架构及日益严格的审计压力共同推动了这一变革。本市场地图解码了当前格局，既包含传统领导者，也涵盖重新定义混合环境访问治理的创新厂商。从核心IGA引擎到解决策略自动化、孤岛应用或非人类身份的邻近平台，本图谱为您呈现塑造身份治理未来的关键玩家战略图景。
本报告重点厂商
本报告拨开噪音，展示前瞻性企业如何通过自动化IGA降低风险、简化流程并创造实际业务价值。若您仍将IGA视为合规复选框，您将错失战略机遇。我们将为您解析原因及应对之道，并重点介绍三家：
引言
什么是 IGA？
身份治理与权限管理（IGA）是身份安全领域的一个学科，专注于确保正确的人在正确的时间拥有对正确资源的正确访问权限，并对此进行持续治理。IGA既是流程也是系统，通常通过SailPoint、Saviynt等平台实现。
简言之，IGA指组织为确保所有用户（员工、承包商、合作伙伴或客户）仅拥有履行职责所需且不过度的系统与应用访问权限所必须开展的活动。
IGA 与 AM/SSO对比
相比之下，访问管理（AM，含单点登录SSO和多因素认证MFA）关注用户如何实时进行身份验证与系统访问。AM在登录环节实施安全管控，而IGA确保授予的权限合理、必要且合规。简言之：AM管控“门禁”，IGA决定“谁该拿钥匙、拿多久”。
此外，IGA是一套策略框架及安全解决方案，支持跨异构企业系统的数字身份与权限管理。这些工具可自动化创建、管理与认证用户账户、角色及权限，并整合关联IT环境中的身份与权限数据。
部署后，IGA工具可为IT管理员提供组织内数字身份的全景视图，并优化用户开通、密码管理、策略执行、访问治理及评审流程。作为IAM架构的核心组件，IGA助力企业提升流程成熟度、确保合规性并降低未授权访问风险。关键功能包括身份生命周期管理、权限管理、访问请求与认证、策略与角色管理、审计及身份分析与报告。
IGA 发展史
IGA市场数年前兴起，源于用户管理与开通（UAP）能力与身份与访问治理（IAG）工具的逐步融合，SailPoint（IAG）与IBM（UAP）厂商主导了这一进程。尽管多数企业已具备某种形式的IGA流程（基于厂商方案或自研手工流程），但IGA解决方案更多被中大型企业采用。由于其规模、复杂性与异构系统特性，这些企业更能从成熟的IGA方案中获益。
在整体IAM套件中，IGA工具具有独特定位：定义并执行IAM策略，确保其满足审计与合规要求。IGA通常是IAM中最复杂的组件，因集成、定制化及跨部门审批需求，部署耗时较长，常需第三方专业服务支持。
IGA市场被认为已成熟，厂商间功能差异有限。新增销售多为存量市场部署，预测性治理与身份分析等创新提升了胜率。为脱颖而出，厂商正向邻近领域扩展。例如，Saviynt增加了PAM功能，SailPoint引入了云安全能力。云采用加速，提供更简化的部署与更低的总拥有成本。结合访问管理与IGA或PAM与IGA的SaaS交付IAM平台日益流行，尤其受IGA需求较低的小型企业青睐。为降低成本，这类组织倾向于采用“轻量级IGA”部署，包含基本能力如职责分离（SOD）监控、身份生命周期管理及认证/重新认证。
IGA 运作机制
身份治理与权限管理（IGA）生命周期始于身份创建，通常由HR系统中的新员工入职或承包商入网触发。随后，IGA平台基于预定义角色或属性自动分配对系统、应用及数据的访问权限。随着用户跨部门调动、角色变更或承担新职责，系统通过基于角色或属性的控制动态调整其权限。在职期间，IGA通过策略执行、访问请求及认证评审实现持续治理，提供“谁有权访问什么及原因”的可见性。用户离职时，IGA自动撤销其在所有系统的访问权限，降低僵尸账户风险。各阶段均通过审计日志与身份分析确保合规性、落实最小权限原则并强化整体安全态势。
IGA 的变革
IGA正经历重大转型，核心驱动力在于管理日益复杂动态的访问环境的需求。企业正面临云应用激增、人机身份（NHIs）泛滥的挑战，同时需在保持敏捷性的同时实施细粒度访问策略。
身份已取代网络边界成为主要攻击面。现代攻击者不再利用防火墙漏洞，而是通过合法凭证横向移动，利用过度授权的访问权限。企业如今需管理数千个SaaS与云服务，并需实时治理人机身份。传统IGA套件面向低速本地环境设计，无法匹配此等规模与速度，推动向“自主”身份治理的自动化优先转型。
传统IGA方案常难以应对现代IT环境的复杂性，尤其是“孤岛应用”——缺乏API或标准集成能力的应用。本报告深入研究IGA，旨在扩展其覆盖范围，重点探讨其如何助力IGA团队并为这些挑战性应用实现身份管理现代化。
身份治理的演变格局
传统IGA方案常难以跟上现代企业IT的规模与速度，主要原因包括：
1.应用爆炸式增长：应用数量（尤其是SaaS）呈指数级增长，IGA团队难以全面掌握所有系统的访问情况。
2.非人类身份（NHIs）崛起：除人类用户外，企业还需管理激增的服务账户、机器人及API等机器身份。这些NHIs需精细治理以防止未授权访问及潜在安全漏洞。
3.动态访问需求：因员工入职/离职、角色变更及项目制工作，访问需求持续变化。IGA方案需快速适应以确保用户适时拥有适当权限。
4.细粒度策略需求：企业需落实最小权限原则并满足合规要求，IGA方案须提供对权限的精细化控制。
当前挑战驱动IGA变革需求
市场力量加速自动化需求
三大压力使手动治理难以为继：
1. 应用蔓延使权限数量激增十倍，季度认证活动不堪重负；
2. 承包商、机器人及服务账户身份的兴起意味着开通/停用事件需持续处理，而非依赖HR触发的批量操作；
3. 审计要求提高：纵深防御现需默认证明最小权限原则，并在风险信号出现后数小时内提供可验证的修复证据。
这些动态催生了对以下平台的需求：可自主发现身份、推荐策略、执行生命周期操作并将合规工件反馈给控制主体的平台，且最大限度减少人工干预。传统的季度认证驱动型治理流程已无法扩展，企业现在需要持续控制——以最小人工介入发现、评估并修复访问风险。此类动态更青睐将自动化嵌入治理全生命周期（摄取、分析、决策、行动）的平台，而非止步于检测。
身份治理与管理系统（IGA）正面临来自以下多重压力的持续冲击：
1.身份复杂性：组织必须管理跨职场用户、承包商、服务账户及API的不断增长的人和机器身份，这些身份分布于SaaS、本地部署及云平台中。手动电子表格和静态角色模型很快会失去准确性，导致孤立账户和权限蔓延问题。Omada的另一项行业调查发现，耗时的手动流程是推动IGA投资的首要问题，这表明各组织正深切感受到当前手动处理身份生命周期（JML）的痛点。此外，传统IGA工具往往难以轻松适配新的云应用或变更，往往需要对连接器进行大量自定义编码。超过半数的组织表示，为其IGA系统开发并维护自定义连接器和配置脚本是一项重大负担。
2.人才短缺：身份团队、安全运营中心（SOC）分析师及应用所有者处理新仪表板或自定义查询语言的能力有限。工具必须降低而非增加运营开销。
3.审计强度与监管监督：董事会和监管机构日益要求提供证据，证明过度权限能在规定时限内被检测并移除。安全领导者必须展示持续、可重复的控制机制，而非依赖一次性、“救火式”的季度末清理操作。
4.IGA难题：弥合应用覆盖缺口：传统IGA工具提供开通、停用、认证及审计日志等核心能力，对确保合规、降低风险及管理身份生命周期至关重要。但其严重依赖API与标准集成的局限性导致：许多应用（尤其是老旧或定制化系统）无法纳入IGA管控范围，形成显著的应用覆盖缺口。企业被迫依赖手工流程、电子表格及自定义脚本管理孤岛应用访问，既低效耗时，又引入安全漏洞与人为错误风险。缺乏集中管控与可见性阻碍了审计与合规工作，使企业面临监管处罚与安全漏洞风险。
5.SaaS应用的爆发式增长：SaaS应用的快速扩张、DevOps式发布周期及日益严格的审计要求，已超越传统工作流驱动型IGA部署的能力。大型企业如今平均拥有超1,000个云与SaaS应用，但头部IGA套件通常仅提供不足300个开箱即用的连接器。这一差距导致“覆盖缺口”——30%-50%的权限存在于缺乏现代API的孤岛应用中。这些权限游离于治理边界之外，削弱安全举措，并迫使团队开展高成本的认证工作。与此同时，监管审查趋严：欧盟DORA等框架要求持续证明最小权限原则，北美隐私法规对过度暴露个人数据处以罚款。Omada《2025年IGA现状报告》显示，31%的受访者认为“低风险访问事件的AI驱动自动化”是满足新兴义务的最有价值能力。以下趋势正在塑造IGA自动化的未来：
a)低代码/无代码连接器生成：传统依赖专业服务编码的连接器工厂，正被UI录制器、AI智能体及可视化向导取代。这些工具使安全甚至业务线员工无需编码即可捕获开通流程，将集成周期从数月缩短至数日，并将长尾覆盖范围扩大到拥有中等市场预算的企业。
b)事件驱动修复：随着身份威胁从人类用户转向机器身份与短期云工作负载，批处理式对账逐渐过时。新兴趋势是利用身份事件（如新用户创建、离职或策略违规）作为近实时触发器，自动撤销权限或降权。
定义自主身份治理
Based on these challenges that we have discussed extensively, we believe Autonomous identity governance extends traditional IGA by embedding AI-powered insights and event-based execution across the governance lifecycle. It begins with comprehensive visibility into both sanctioned and shadow applications, enriching this inventory with cost and usage metrics. AI role-mining algorithms propose least-privilege baselines, which are then enforced through automated workflows. The result is identity governance that adapts to business changes in real time, reduces approval fatigue, eliminates licensing waste, and improves audit posture. Lumos’ public manifesto captures the shift succinctly: visibility, control, and speed, delivered on autopilot.
基于我们广泛讨论的这些挑战，我们认为自主身份治理通过在整个治理生命周期中嵌入AI驱动的洞察力和基于事件的执行，扩展了传统IGA。它从对授权和影子应用的全面可见性开始，通过成本和使用指标丰富这一清单。AI角色挖掘算法提出最小权限基线，然后通过自动化工作流强制执行。其结果是能够实时适应业务变化的身份治理，减少审批疲劳，消除许可浪费，并提升审计合规性。Lumos的公开宣言简洁地概括了这一转变：可见性、控制力和速度，全自动交付。
Actionable Recommendations for IGA Leaders 给IGA领导者的可行建议
以下是针对企业身份治理领导者在实施新身份计划时的行动建议。
身份生命周期管理自动化（简化入职-离职-调动流程）
当今的挑战
管理入职、调动与离职（JML）生命周期是IGA的核心任务之一，但手动操作极易出错。新员工入职通常需要HR在一个系统中录入数据，IT接收工单，再通过多项手动任务分配权限。这种碎片化流程导致“首日访问延迟”、账户过度配置以及离职后凭证滞留，带来重大安全隐患。
近期调查显示，不足10%的企业实现了入职应用的自动化权限分配——超过80%仍依赖邮件、表格等非结构化手动工具管理用户访问。仅9%的企业实现了自动化权限分配。超过60%的企业将手动JML列为首要痛点，46%承认缺乏跨系统自动化的能力。这种现状导致员工因等待权限而沮丧，IT团队因积压的访问请求和清理工作不堪重负。
我们建议的解决方案
首先将HR系统作为身份变更的权威来源，再通过连接器（如SCIM协议）实现自动化权限分配。当发生入职或离职等事件时，触发工作流以更新AD、邮箱和业务系统。
将IGA与ServiceNow等ITSM工具结合，实现更广泛的流程编排——不仅自动化账户访问，还包括工牌和设备恢复。现代平台提供低代码工作流，支持跨系统的审批、通知和同步。
针对调动员工，基于角色的动态权限分配可防止权限跨部门累积。“中心辐射”模型将IGA平台作为HR系统、目录和应用之间的控制中枢。
JML自动化可将人工工作量减少70%，确保“入职第一天即可工作”，并支持近乎实时的权限回收（这对安全性至关重要）。同时，它创建完整的审计轨迹以满足合规要求，并消除工单驱动的权限分配导致的延迟和错误。
基于角色和属性的访问控制（RBAC 和 ABAC）
当今的挑战
确定“谁获得何种权限”是基础，但RBAC常因企业规模扩大导致角色爆炸或漂移。静态角色难以适应组织结构变化，用户在岗位变动时权限会不断累积。ABAC虽能动态控制，但需依赖干净、受控的数据和明确的规则。
缺乏结构化访问控制会导致权限过度分配、高昂的审查成本和临时授权。70%的企业承认存在权限冗余，近半数难以有效实施最小权限原则。
我们建议的解决方案
We recommend using AI to mine existing access data and generate roles from real-world patterns. Tools can suggest common entitlements and automate assignments based on attributes like department and title.
建议利用AI挖掘现有访问数据，从实际模式中生成角色。工具可通过部门、职位等属性推荐常见权限并自动分配。
动态角色分配可在属性变更时自动授予或撤销权限。对于ABAC，部署中央策略引擎，在访问决策中评估位置、雇佣状态或合同到期日等上下文因素。
将ABAC与即时访问（JIT）结合，基于实时验证（如多因素认证）设置严格的临时访问窗口。当属性变更时，自动撤销不再合理的权限。
当自动化驱动角色定义和执行时，团队可减少人工操作、简化权限分配并加强访问控制。集中化规则有助于消除权限蔓延，支持安全且高效的用户访问体验。
利用 AI进行智能身份洞察和基于风险的访问审查
当今的挑战
企业面临海量身份与访问数据，但大多数访问评审仍依赖手动电子表格，缺乏上下文关联，沦为形式化的“橡皮图章”。管理者需审核冗长的权限列表，却无法了解使用情况、风险或异常。
后果如何？监督不一致，系统中残留不必要的权限。超过70%的IT领导者承认用户权限过剩（Omada《2025年IGA现状报告》）。更糟的是，88%-95%的数据泄露仍源于人为错误，例如忽视高风险权限组合或忘记撤销权限。
我们建议的解决方案
AI在此领域大显身手。通过分析访问模式、用户组和行为，AI驱动的IGA平台可识别高风险权限并提出精准修复建议。系统根据风险评分权限，检测异常值，并基于用户角色和活动推荐合理权限。
在访问评审中，自动化提供丰富上下文，例如权限上次使用时间、是否违反职责分离政策，以及与同行的对比。这让评审者专注于真实风险，而非形式化批准。
AI还支持持续的风险评估。无需等待季度认证，当用户权限突变或休眠账户激活时，评审可自动触发。SailPoint等产品利用AI图谱可视化身份关系，帮助团队快速定位和处理异常。
通过从静态评审转向持续智能监控，企业重获掌控权。管理者获得清晰视图而非混乱状态。正如GE医疗在部署AI驱动的身份分析后所示，安全团队可将审计准备时间缩短90%（Saviyant，2025）。
最终目标不仅是合规，更是主动治理。AI从数千项权限中突出关键风险，使团队能在事件发生前采取行动。借助机器学习辅助决策和自动化证据链，企业将历史被动流程转变为高效、动态且审计就绪的体系。
将管理扩展至所有应用程序并整合身份来源
当今的挑战
多数企业运行数百甚至数千个应用，但并非所有应用都具备同等条件。传统本地系统和利基SaaS工具常缺乏API或标准连接器，导致身份治理系统无法覆盖。这留下巨大盲区：58%的企业承认当前工具仅覆盖不到一半的应用。许多IGA部署仅管理AD和少数云应用，任由“长尾”孤立系统处于无监管状态。这些缺口意味着孤儿账户、不一致的访问控制和合规风险。
此外，身份数据孤岛问题加剧：并购和自然扩张使企业拥有多个HR系统、目录和身份存储。若未整合，同一用户可能拥有多个未关联账户。缺乏统一身份视图，最小权限原则和完整评审均无法实现。
我们建议的解决方案
为此，领先IGA厂商推出集成代理工具，通过机器人流程自动化（RPA）或脚本模拟连接。例如，Cerby通过自动化UI操作并将权限与中央平台同步，实现对无API应用的管理。
同时，IGA平台日益提供灵活连接器：SCIM用于云应用，JDBC用于数据库，LDAP用于目录，CSV同步用于老旧系统。企业应优先选择连接器库丰富且易于配置扩展的工具。
为实现身份整合，自动化可跨源关联数据，通过邮箱、员工ID等属性匹配用户，构建主身份记录。中间件层（或“身份网格“）标准化传入数据，并确保变更实时反映至所有系统。
借助这些自动化层，企业可管理90%以上的应用环境（而不仅是显而易见的部分）。他们还能获得完整的身份视图，实现精准策略执行、一致的权限回收和全面的审计准备。
孤立应用不再藏身暗处。IT不再进行碎片化管理，而是运行单一编排平台。用户享受一致访问体验，审计人员获得完整视图，安全团队填补现代身份治理的最大缺口。
供应商案例研究
案例研究供应商重新认识身份管理
随着企业努力实现身份治理现代化，新一代供应商崭露头角，挑战传统观念，并重新定义云优先、应用为中心和去中心化环境中的“治理”内涵。其中，Linx、Lumos和Cerby代表了三种不同路径，反映了下一代身份安全的趋势。
这些企业的共同点是强调自动化、用户体验和安全成果，但各自解决身份治理领域的不同痛点：
Linx Security专注于为身份数据提供持续安全态势管理、丰富的异常检测和基于风险的警报，提供传统IGA工具常忽略的可操作洞察。
Lumos正在构建面向员工的访问治理和SaaS管理层，帮助IT和安全团队减少SaaS蔓延、管理应用权限，并在不牺牲合规性的前提下实现自助服务。
Cerby专注于解决被忽视的“不可管理应用”领域，例如社交媒体、营销工具或遗留平台，确保治理覆盖企业所有角落。
Linx Security
产品概览
公司概况：由微软、Check Point和以色列8200部队退伍军人创立，Linx已从Cyberstarts和Index Ventures融资超3300万美元。公司采取“先构建后推广”模式。
功能覆盖范围：在一个身份识别平台中，Linx 可提供
1.IGA
2.Identity Security Posture Management (ISPM)
3.Just-in-Time (JIT) access
4.Non-Human Identity (NHI) controls
其功能包括端到端账号生命周期管理、职责分离执行、持续风险分析和自然语言自助查询。Linx强调加速离职处理、休眠账户检测和权限漂移修复作为高影响力切入点。
图形原生架构
Linx的图数据库存储来自多源的身份数据，节点表示主体/资源，边表示关系。此架构可快速发现嵌套组权限等复杂访问模式。
图结构支持通过自然语言查询访问权限，无需编码技能。在四月的产品演示中，平台展示了聚合身份、权限和活动数据的能力，并通过机器学习从三个维度评估风险：特定异常（如休眠管理员账户）、整体身份风险态势和应用业务关键性。这种多层方法帮助识别需立即处理的重大问题，而非生成令人不知所措的违规清单。机器学习驱动的优先级排序显著降低分析师工作量，并允许对低风险场景进行安全自动化修复。
这种图原生上下文意味着所有主体、资源和权限均转化为节点与边；间接权限路径（例如嵌套组）可通过单次查询直接揭示，从而提升审计过程的可解释性。它为更多功能的实现奠定了基础。
核心差异化优势
快速价值实现：现代IGA工具需在数日内（而非数月）连接目录、SaaS API、云控制平面和遗留应用。Linx以“快速价值实现”为核心差异化，依赖预构建连接器和无模式数据摄取，将实施时间从数月缩短至数天，支持快速价值验证试点。
风险分级优先级：Linx的AI模型从三个维度评分风险：个体异常、身份和应用。此多向量模型过滤噪音，突出最关键的5%-10%权限。尽管全租户综合风险评分仍在规划中，当前架构已支持闭环治理。、Linx 的模型对问题进行汇总和排序，以指导团队做出最能减少攻击面的改变。
Linx AI助手（普及复杂查询）：身份项目的常见痛点是技能鸿沟。多数分析师不熟悉Gremlin或Cypher等图分析查询语言。Linx通过LLM驱动的AI助手，将自然语言问题（如“显示Okta中无MFA的休眠管理员账户”）转化为优化图查询并即时返回结果。此举消除对数据工程团队的依赖，加速调查和认证流程。由于允许分析师和业务所有者自助获取洞察，该功能在不增加团队规模的情况下扩展治理范围。更重要的是，此界面提高了可解释性——审核员可追溯答案生成过程，满足审计透明度要求。
闭环修复：Linx将风险引擎与原生剧本连接，可自动禁用账户、调整角色或轮换密钥，无需外部工单系统。AI评分作为决策门限：高置信度、低影响的修复自动执行，高风险变更需审批。此架构缩短撤销响应时间，对可衡量的审计合规至关重要。模型再训练反馈回路已在规划中，尚未公开。
统一检测与修复能力：该功能是对前文要点的补充。在讨论中，我们观察到一种闭环流程，其中检测逻辑、风险策略和修复操作均在同一微服务层中运行。当新事件（无论是Okta权限变更、GitHub个人访问令牌（PAT）创建还是CloudTrail操作）到达时，它们会被流入平台的属性图中。一个机器学习模型会立即通过三个维度对每个事件进行评估：
异常严重性：这指的是根据行为的性质及其偏离正常情况的程度，所检测到的异常有多严重或高风险。例如：如果一个90天未使用的休眠管理员令牌突然在凌晨3点从新地理位置激活，则会被标记为高严重性异常。这种优先级划分有助于安全团队快速聚焦于最可能具有恶意或破坏性的事件，从而实现更有效的分类和响应。
身份态势：该指标通过分析特定用户或服务账户的历史行为、权限、过往事件和暴露风险，评估其整体关联风险。例如：一个存在多次登录失败、访问敏感系统且有忽略安全警报历史的开发者账户，会被标记为身份状态不佳。它有助于安全团队持续评估人类和非人类身份的可信度，并优先处理那些构成持续或累积风险的账户。
资产关键性：这指的是被访问或攻击的系统或资源的重要性和业务价值，通常基于其在组织运营中的角色、数据敏感性或合规影响。综合得分会与安全团队可在用户界面中调整的策略阈值进行比较。例如：存储工资数据的财务系统或服务于数百万用户的生产数据库会被评为高关键性资产。
这确保了针对关键任务系统的事件得到更高优先级的处理，从而在检测和修复工作流程中实现基于风险的优先级排序。
总结与分析
早期演示显示，Linx的能力令人印象深刻。SailPoint等第一代IGA厂商擅长角色建模、认证工作流和审计报告，但其平台面向本地目录设计，高度依赖专业服务才能充分发挥价值。
相比之下，Linx的图原生数据层、预构建连接器库和LLM驱动的查询助手可在数日内提供可用洞察，并自动执行修复（而非导出工单）。另一例证是其对非人类身份和自主AI代理的支持——在许多组织中，此类实体的数量已超过人类员工。Linx将其视为一等公民，而传统套件通常将机器身份作为次要附加项。
Linx顺应了行业从“发现并归档”向“发现并修复”的转型趋势。其图驱动分析、基于大语言模型的助手以及嵌入式修复功能，直接解决了两大自动化障碍：明确优先级以及在不依赖人工瓶颈的情况下解决问题。
Linx为仍主导许多企业的单体式身份治理（IGA）套件提供了一种云原生替代方案。其架构支持快速修复工作流，最终形成持续更新的控制架构，取代了漫长的实施周期、季度认证活动以及积压的工单队列。
执行深度（尤其是在复合指标、持续模型训练和连接器可扩展性等领域）将决定Linx能否保持其价值实现速度优势。若这些差距能按计划弥合，该平台将有充分能力支持比传统套件更大型、更快速且更自动化的身份治理项目。
Lumos
Lumos 是一家总部位于旧金山的身份安全公司，由 Andrej Safundzic（首席执行官）、Leo Mehr 和 Alan Flores-López 于 2020 年创立。该公司获得了 a16z 和 Scale Venture Partners 等投资者的支持。
其解决方案涵盖以下能力：
身份治理和管理 (IGA)：访问审查和生命周期管理
身份安全态势管理（ISPM）
最小权限访问控制
访问请求与即时访问权限
SaaS 发现、支出优化和零接触 IT
本报告对 Lumos 进行了分析，该平台旨在通过自动化关键 IGA 功能和实现自主身份管理，帮助 IGA 团队应对现代挑战。
Lumos 如何帮助 IGA 团队
Lumos 通过现代化自动化方法应对 IGA 挑战，提供多项关键能力，帮助 IGA 团队更高效地管理身份：
1.全面的可视性：Lumos 集成 HRIS、IDP 和应用程序等系统，为企业提供跨平台的统一访问视图。该视图覆盖授权与非授权应用，帮助 IGA 团队识别并降低影子 IT 风险。此外，Lumos 还提供账户状态、登录活动及细粒度权限的详细信息。
2.工作流程自动化：Lumos 自动化处理访问请求、资源调配和回收等关键 IGA 工作流。此举减少人工干预，提升效率并加速访问流程。其内置的非活跃账户管理功能可主动识别未使用权限，并向用户或应用所有者发出警报，有效遏制权限蔓延。
3.AI 驱动的访问审查：Lumos 利用 AI 优化访问审查流程。其 AI 功能通过角色挖掘生成访问策略与权限配置文件，提升审查效率与准确性。此外，内置的 AI 智能体 Albus 可基于上下文信息（如位置、设备及时间）做出动态访问决策。
4.策略自动化：Lumos 自动化创建、优化并执行细粒度访问策略。通过分析访问模式与用户行为，其可推荐并实施符合最小权限原则的策略，降低风险并确保合规性。
5.生命周期自动化：Lumos 实现身份全生命周期自动化，涵盖入职到离职的全流程。包括为新员工分配权限、根据角色变更调整权限，以及在员工离职时撤销权限，确保权限始终与职责匹配。
Lumos 自主身份治理使用案例
2025 年 4 月，Lumos 推出 AI 驱动的升级版平台——自主身份平台（Autonomous Identity Platform）。 此版本新增 Albus 智能体，支持按需创建连接器与访问策略、基于使用模式演进的持续策略学习，以及近乎实时的入职、调岗与离职生命周期自动化。这些功能可将部署时间缩短至传统 IGA 套件的七分之一，并降低总拥有成本，同时为安全团队提供合规审计所需的实时数据流。
作为公司的旗舰产品，自主身份平台将 SaaS 管理、身份治理与特权访问管理整合至单一云服务中。 其核心功能包括自动发现所有人机身份、映射 300 多个云与本地系统的权限，并维护包含成本与使用遥测数据的实时“访问图谱”。自助服务应用商店（AppStore）支持员工通过 Slack 或 Microsoft Teams 申请或撤销权限，内置许可证分析功能则可识别未使用席位与冗余订阅。
Lumos 的自主身份模型通过 AI 为 IGA 注入新层次的自动化与智能。 其能力包括：
1.自主策略管理：Lumos 支持企业自动化制定访问策略，减少策略漂移、强化安全性并降低合规负担。通过结合传统机器学习与代理 AI 工作流，其可分析访问模式、用户权限及组织背景，创建、优化、推荐并演进基于角色的访问控制（RBAC）。
2.自动创建和完善访问策略：Lumos 持续分析访问模式与用户行为，生成并优化访问策略，确保与业务需求及安全最佳实践保持一致。
3.执行细粒度的访问策略：Lumos 使企业能够对权限实施精细化管控，确保用户仅拥有必要访问权限。此举有助于落实最小权限原则、抑制权限蔓延、防止未授权访问并提升整体安全性。
4.做出动态访问决策：Albus 代理基于位置、时间及设备等上下文信息实时做出访问决策，支持自适应访问控制以应对动态风险。
5.实现身份生命周期管理自动化：Lumos 自动化关键身份生命周期流程并支持动态访问控制，减少人工操作并提升效率。此举简化 IGA 工作流，使团队得以专注于战略任务，同时降低人力与审计成本。
分析师的观点和结论
本报告探讨了自动化在 IGA 项目中的作用。我们认为，Lumos 新推出的“自主身份平台”通过融合 AI 生成策略管理与近乎实时的入职、调岗与离职自动化脱颖而出。Albus 可按需生成连接器、集成与访问策略。若其可靠性得到验证，将大幅缓解传统 IGA 部署中困扰企业的专业服务积压问题。
Albus 代理可自动生成 RBAC 规则并提供决策依据，为中型云原生企业提供比传统 SailPoint 实施更快捷、轻量的替代方案。通过将审批工作流嵌入 Slack 与 Teams，并将许可证与成本数据融入访问图谱，Lumos 以独特方式连接安全、IT 与财务目标，这是多数现有厂商难以企及的。
然而，“自主”承诺的兑现依赖于两点：AI 生成的连接器需在下游 SaaS UI 与 API 更新时保持稳定，且每项策略决策需经得起审计审查。此外，Lumos 需弥补大规模职责分离分析、服务账户凭证保管及关键本地 ERP/数据库系统支持的短板，方能与传统全栈 IGA/PAM 套件直接竞争。
若 Lumos 能在大型厂商完善自有 AI 代理前提供可靠的自愈式集成并维持强大的生态系统合作，其有望成为现有身份平台的持久敏捷层，甚至取代传统厂商。
Lumos 代表了新一代 IGA 解决方案，通过 AI 与自动化应对现代身份治理挑战。随着企业不断应对日益复杂的 IT 环境，此类解决方案将成为实现高效身份治理的关键。
Cerby
成立于 2020 年的Cerby是一家身份安全公司，专注于解决企业 IGA 方案中的盲区：缺乏 API 或 SAML/SCIM 支持的“非标准”或“孤岛式”应用。Cerby通过为缺乏标准 API 的应用引入自动化与控制能力，为 IGA 提供现代化解决方案。其核心价值在于无缝集成现有 IGA 工具，将覆盖范围延伸至传统方案无法触及的“孤岛应用”，从而实现跨平台的自动化资源调配、回收与访问认证，提升安全性、合规性并降低成本。
IGA 项目中的自动化鸿沟与非标准应用
非标准或孤岛式应用仍是端到端自动化的首要障碍。Okta 报告指出，此类应用的权限常以硬编码形式存在于本地脚本或共享表格中，导致权限蔓延与僵尸账户成为监管盲区。Gartner 的同行评审亦证实，多年积压的集成工作是 IGA 项目延期的主因。传统 IGA 平台通常仅覆盖企业应用组合的一小部分，因许多应用缺乏现代 API 或 SCIM 端点，导致安全团队不得不依赖低效、易错且昂贵的手动配置与临时脚本。
IGA 增强使用案例
Cerby并非替代现有 IGA 投资，而是通过扩展应用生态覆盖范围增强其能力。其将权限数据回传至 SailPoint 或 Saviynt 等平台，使持续认证流程得以覆盖此前孤立的系统。
核心功能：基于录制器的集成
Cerby的核心优势在于适应企业应用环境的复杂性与异构性。部分客户采用Cerby Scout——一款基于浏览器的录制工具，允许 IT 与安全团队捕获创建、更新或删除账户所需的精确 UI 操作步骤。录制完成后，这些步骤可在上游 IGA 或 ITSM 系统触发变更请求时自动执行，将连接器开发周期从数月缩短至数小时。
另一些客户则利用Cerby的代理 AI 技术，通过专有自动化语言开发例行任务，执行传统上依赖终端用户的身份安全操作。在部分场景中，现有 IGA 平台也直接采用Cerby的专有语言编写治理规则。
相较于传统定制连接器所需的“漫长专业服务周期”，上述方法显著提升了效率。
Cerby的 SaaS 平台可发现缺乏现代 API 的应用，并通过Cerby Scout 捕获用户资源调配的精确 UI 步骤。自动化引擎随后在入职、调岗、离职事件、多因素认证注册及密码/令牌轮换等场景中无界面执行这些步骤。录制的工作流可在收到上游 IGA 或 ITSM 系统的变更请求后自动运行。此外，内置凭证保险库可保护共享凭据，而 Webhook 与批量数据接口则为现有 IGA 与 IdP 系统提供权限数据。
本质上，Cerby将最小权限治理与审计覆盖延伸至主流身份平台难以触及的长尾应用（包括 SaaS、Web、移动及遗留系统），直接填补覆盖空白。其还提供本地代理以支持内网防火墙后的客户端软件或资源。尽管平台支持即时更新，但许多 IGA 套件仍依赖数据轮询，因此Cerby同时支持资源调配/回收的近实时 Webhook 与认证证据的定时数据接口。
Cerby提供以下主要功能：
全面的可视性和控制：Cerby将可见性与控制范围扩展至孤立应用，为身份治理（IGA）团队提供企业范围内用户权限的统一、全面视图。这使其能够识别并降低访问风险、执行最小权限原则，并确保符合监管要求。
简化的身份生命周期管理：通过自动化执行Scout捕获的用户界面（UI）流程，Cerby确保新账户创建、角色分配及移除操作与身份治理策略保持一致，无需人工干预。Cerby Scout支持快速集成开发，消除了对大量编码或专业服务的依赖，显著缩短了将新应用纳入身份治理的时间与成本。
登录自动化与多因素认证（MFA）注册：同一自动化机制可管理最终用户的密码更新及多因素认证设置，降低因人为错误和凭证蔓延带来的风险。
手动流程自动化：Cerby为孤立应用实现了自动资源调配、取消调配及访问认证，无需人工干预。这使得身份治理团队能够专注于更具战略性的任务，最大限度减少人为错误，并加速身份相关流程。
机密管理与治理：集成保管库可存储并轮换应用程序专用令牌或共享凭证，解决了与遗留脚本相关的常见审计问题。
加速访问审查与认证活动：尽管Cerby不直接执行访问审查，但其会向身份治理平台提供权限数据，使认证活动能够覆盖此前不可见的应用。这减少了人工工作量并强化了合规性。部分合作伙伴现已支持Cerby连接应用的自动发现，进一步加速了完整身份治理覆盖的纳入进程。
快速价值实现部署模型：Cerby采用高效部署模型。该服务为云托管架构，仅需为客户端或内部专用应用部署轻量级代理，最大限度降低了基础设施开销与部署时间。基于使用的定价模式使成本与连接的用户及应用数量直接挂钩，且Cerby与系统集成商合作，支持扩展交付。
竞争格局
本报告主要将 Linx 与 Lumos Security 定位为核心 IGA 解决方案供应商。
Cerby的主要竞争对手是“自行构建”模式，即企业依赖高风险、高成本且难以扩展的手动解决方案与定制连接器。相较于定制代码，Cerby提供开箱即用的自愈式集成、增强的身份语义、集中化维护及符合治理流程的审计追踪。
传统 IGA 厂商虽推出自有低代码工具，但目前仍处于早期阶段且主要支持具备 API 的应用。其发展成效将决定Cerby是继续作为补充层存在，还是面临来自核心 IGA 平台的直接竞争。
分析师指出，基于录制器的方法易受界面变更影响。Cerby需部署强大的监控与自愈机制以防止静默故障。企业还应评估引入专用控制平面带来的治理影响，并通过源码托管或连接器导出条款降低厂商锁定风险。
随着录制技术及基于大语言模型（LLM）或代理工作流生成的普及，连接器创建或将商品化。竞争焦点将转向能在秒级响应流式身份数据的策略智能与自主修复能力。Cerby专注于录制式自动化的定位使其有望把握趋势，但其持续相关性取决于能否将代理 AI 能力与强化的界面监控整合至集成网络，同时保持与传统 IGA 套件的中立互补关系。
总体概述
经过对Cerby方案的分析，我们认为其在补充与扩展身份治理与管理体系（IGA）覆盖范围方面取得了显著进展。其将治理延伸至孤岛应用的能力填补了传统 IGA 平台的空白，使企业得以在全应用范围内实现全面的身份治理。通过自动化流程、简化集成、增强可见性与管控能力，Cerby简化了 IGA 运维、强化安全态势并降低成本。随着企业应对日益复杂的 IT 环境，此类解决方案将成为保障安全高效身份治理的关键。
给 IGA 领导者的其他建议
1.审计IGA覆盖缺口：评估当前IGA范围外应用与身份的数量及关键程度，明确覆盖边界与风险起始点。基于这一基线，预测针对长尾应用设计的身份自动化工具在风险降低和投资回报（ROI）方面的潜力。若组织需要扩大IGA覆盖范围并加速应用上线，类似Cerby的解决方案可提供助力。这将提升安全态势、强化持续合规性，并降低运营开销。
2.坚持使用事件钩子：在评估附加解决方案时，优先考虑那些既能消费又能发出事件的解决方案，从而实现近乎实时的撤销和认证数据流，而不是依赖于每日投票。
3.规划连接器的韧性与供应商退出机制：强制要求对连接器健康状况进行持续监控，内置自愈逻辑，并明确服务级别协议（SLA）。在合同中加入源代码托管或API级导出的条款，防止因专业自动化供应商被收购或功能终止而导致系统锁定。
4.分层扩展自动化能力：采用分层策略，结合核心IGA引擎（负责策略逻辑）、类Cerby的AI代理（扩展应用覆盖与自动化范围），以及AI分析工具（持续优化角色），相较于完全替换平台，此方法能更快见效。
5.尽早试点AI角色挖掘：即使小范围部署AI角色挖掘，也能识别冗余访问权限并简化未来认证流程，从而释放预算以扩大集成范围。
结论
长期以来，身份治理与管理体系（IGA）被视为重要的合规义务，但往往繁冗不堪。然而，世界已变。当今环境下，身份数量远超员工规模，访问需求瞬息万变，攻击者将特权视为首要武器——IGA 已不仅是合规复选框，而是关键的业务控制手段。更重要的是，当其实施得当时，更能转化为战略优势。
本报告提出了 IGA 转型的蓝图——将人工密集、进展缓慢的传统流程转变为自动化、智能化与自适应的安全合规引擎。我们分析了五大复杂低效领域：身份生命周期管理、访问审查、角色与策略执行、孤岛应用覆盖及身份数据整合。这些领域不仅是问题所在，更是自动化的机遇所在。
所有这些案例传递出的经验很明确：手动操作无法实现规模化，但自动化可以。无论是协调员工入职-调岗-离职的工作流程，利用AI发现高风险访问权限，通过基于属性的访问控制（ABAC）动态执行策略，还是将治理范围扩展至影子应用，如今都已出现了远超传统IGA平台设计能力的现代解决方案。
现代IGA并非要重复造轮子，而是要让这个"轮子"实现自动驾驶。它意味着从被动清理转向主动控制，将洞察、决策与行动整合为一个持续的、数据驱动的反馈循环。它还意味着赋能安全团队，使其能够以业务所需的速度和规模进行治理，既不会让员工精疲力竭，也不会导致专业服务预算激增。
原文链接：
https://softwareanalyst.substack.com/p/from-complexity-to-control-using
声明：本文来自安全喵喵站，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
