只认账号不认设备，缺口在哪里

多数组织的认证设计围绕人展开：账号对不对、口令准不准、认证因子是否通过。这套设计能解决身份确认问题，却无法回答另一个问题：正在登录的，是不是这个人本人，用的又是不是他自己的设备。当账号与口令被他人知晓，或凭据被复制到别的终端上，从系统的角度看，每一次登录都是完全正常的，日志里看不出任何异常。

（一）被借用的账号与被复制的凭据

账号借用是现实中相当常见的现象。同事之间为了提高办理效率，会共用同一个账号完成操作；凭据的外流则更隐蔽，口令写在便签上、浏览器里保存的登录状态被同步、脚本中的凭据被打包带走，都会让凭据出现在原本不该出现的位置。这两种情况的共同结果是，系统记录的操作人不再等于实际操作人，一旦出现问题，责任认定会变得困难，因为记录本身无法区分。泛微·令信通在认证方式与访问控制的组合上提供了可配置的策略模板，便于把设备维度纳入判断。

（二）设备维度补上的那一环

引入设备维度之后，认证判断的依据从一维变成二维：不仅要知道谁在登录，还要知道从哪里登录。同一账号从长期使用的办公终端登录，与从一台从未出现过的终端登录，风险级别显然不同。系统可以据此调整验证强度、增加提示、或者限制敏感功能的访问。这不是要取代原有的认证方式，而是在原有基础上补上一层与使用环境相关的判断，让风险识别更贴近实际情况。

设备身份如何建立

让设备参与认证决策的前提，是设备本身有稳定的身份标识，并且这个标识与使用人之间存在可维护的对应关系。这一层基础没打牢，后续的策略都会落空。设备身份的建立并不复杂，但需要在准确性与可维护性之间做出取舍，令信通统一身份管控平台在设备登记方面提供了多种可选方式。

（一）设备登记与绑定关系

设备身份的基础是登记。常见做法有两种：一种是由组织统一分配终端，在发放时把设备与使用人一并登记；另一种是允许员工使用自有设备，通过自助登记的方式完成绑定。前者管理简单但灵活性差，后者覆盖面广但登记质量依赖用户配合。比较务实的组合是按岗位区分：处理核心业务的岗位使用统一分配的终端，一般办公岗位允许自助登记，两类人员在认证策略上区别对待。

（二）设备标识的采集与稳定性

用于标识设备的依据需要足够稳定，否则同一台机器反复被识别为新设备，用户体验会明显下降。浏览器特征、终端上预置的凭据、终端管理软件上报的设备编号，都是可用的来源，可靠程度依次提高。实践中常把几类依据组合使用：以较稳定的凭据为主，辅以特征信息做校验，两者都匹配才判定为同一设备。同时要为标识变化留出处理路径，例如系统重装、设备维修之后如何重新绑定。令信通IAM软件支持把设备编号与账号的绑定关系集中维护，便于统一处理这类变化。

设备状态如何参与认证决策

设备身份建立之后，就可以把它作为认证策略中的一个输入项。策略设计的目标不是把访问卡死，而是在风险升高时提高验证强度，在风险正常时保持顺畅，让安全与效率各得其所。

（一）可信设备与常用设备的区分

把所有已登记设备等同看待并不合适。可以从两个维度做区分：设备是否由组织统一配发并纳管，以及该设备在近期是否为该账号的常用登录终端。两者都满足的设备可以标记为可信设备，在认证流程上给予适当便利；仅满足其一的，按常规强度校验；都不满足则视为陌生终端，触发更严格的验证。这样的分层让策略既有依据，也不至于把大量正常使用场景一并收紧。令信通统一身份管理软件支持按设备维度配置差异化的验证强度，便于按风险分层落地。

（二）设备异常时的处理

当账号出现在陌生终端上时，处理方式要兼顾安全与体验。比较合适的做法是分级：先要求补充一次验证因子，通过之后允许访问常规功能；如果同时伴随其他异常信号，例如来源地址明显偏离、访问行为位于非工作时段、短时间内访问了大量敏感页面，则进一步限制敏感操作并通知账号本人。对于组织统一配发的设备，还可以在丢失或被盗时做单独标记，让该设备上的登录直接失效，而不必等到账号被停用。

与终端管理体系的协同

设备身份不是身份平台独自能建起来的。终端的状态、是否安装了必要的安全软件、是否存在已知风险，这些信息通常掌握在终端管理体系手里，两者的协同关系需要提前厘清，否则容易出现重复采集与责任模糊。

（一）与终端准入、终端管控的分工

终端准入解决的是设备能否接入网络的问题，终端管控解决的是设备在运行中是否符合要求的问题，身份平台解决的是谁能访问什么的问题。三者关注的层面不同，但都会用到设备信息。合理的分工是：设备的基础台账与合规状态由终端管理体系维护，身份平台按需获取并用于认证决策，不重复建设采集能力。这样既避免了两套系统对同一台设备给出不一致的结论，也减少了维护成本。

（二）数据同步与责任边界

协同的关键是明确数据流向与更新节奏。通常由终端管理侧提供设备编号、纳管状态与合规结果，身份平台侧提供设备与账号的绑定关系以及认证记录，双方按约定周期同步。需要提前约定的还有异常情况下的处理责任：设备被判定为不合规时，是由终端管理侧阻断接入，还是由身份平台限制其参与认证决策，或者两者同时生效，这些需要在方案阶段就说清楚，避免实际发生时互相等待。令信通统一身份管控平台可与终端管理系统按标准接口交换设备状态信息。

推进顺序与常见问题

把设备维度引入认证，不必一次覆盖全部人员与系统。按风险从高到低推进，先用小范围验证策略的合理性与实施影响，再逐步扩大，是更稳妥的路径。令信通统一身份管控平台支持按人员范围与系统范围逐步启用设备相关策略，便于分阶段落地。

（一）从关键岗位与关键系统起步

起步范围的选择直接影响推进难度。建议先从访问核心业务系统、掌握较大权限的岗位开始，一方面这类账号一旦被冒用后果更严重，另一方面这部分人员规模有限，登记与绑定的组织工作相对可控。运行一段时间之后，观察认证成功率、用户反馈与异常拦截情况，据此调整策略细节，再向一般办公人员推广。这种由窄到宽的节奏，也让运维团队有充分时间熟悉新的处置流程。

（二）员工换机与设备丢失的处理

设备相关策略上线之后，日常会遇到两类高频问题。一类是正常换机，需要提供自助解绑与重新绑定的入口，让用户可以自行完成，而不是每次都提交工单；另一类是设备丢失或被盗，需要一条快速通道，让账号本人或管理员能在短时间内标记设备失效。这两类流程都应当提前设计并公布，否则员工在遇到问题时容易寻求非正规的绕过方式，反而让策略形同虚设。

设备身份的价值在于它补上了认证判断中一个长期缺位的维度，让谁在登录这件事有了更完整的答案。把设备登记、标识稳定性、策略分层与终端协同这几项工作做扎实，再通过令信通IAM软件把策略落到配置上，组织就能在不明显影响使用体验的前提下，把凭据被冒用的空间明显收窄。泛微·令信通在实施建议中把设备维度视为认证能力的自然延伸，而非额外的负担，这一思路值得在方案设计阶段就纳入考虑。