IDaaS Book：企业身份与访问管理实战全书
从一次登录到零信任架构——系统掌握企业身份基础设施的设计、协议、工程落地与安全治理。全书 5 部分 24 章，约 13 万字，持续更新。
开始阅读企业身份，不该每次都从头踩坑
几乎所有现代应用都绕不开身份认证与授权，但它从来不只是「接一个登录页」那么简单。
真正复杂的地方在于：账号从哪里来、组织架构如何同步、权限边界如何治理、多个系统如何单点登录、审计合规如何落地，以及当业务规模增长后如何稳定运行。
《IDaaS Book》是当前最完整的中文企业身份（IAM）实战全书。 它把协议原理、架构设计、产品选型、工程落地和安全治理串成一条主线——让做登录、权限、身份中台和零信任接入的团队，有一份可以随时翻阅的系统参考。
这本书能帮你解决什么
| 你遇到的问题 | 书中对应章节 |
|---|---|
| OAuth 2.0 授权码、隐式、客户端凭证……到底用哪个？ | OAuth 2.0 深度解读 — 四种模式 + 安全边界 |
| OIDC 和 OAuth 2.0 的区别是什么？ID Token 里有什么？ | OpenID Connect — 认证层协议完整拆解 |
| SAML 还在用吗？和 OIDC 怎么选？ | SAML 2.0 + 方案对比 |
| Keycloak 怎么在生产环境部署？Operator 还是 Helm？ | Keycloak 架构 + K8s 生产部署 |
| 单机房整个集群掉线就全站无法登录，怎么做跨机房双活？ | Keycloak 跨机房多集群高可用 — multi-cluster v2 / stateless、站点探活与 v1 迁移边界 |
| 员工用 Microsoft Entra ID（Azure AD）登录成功了，下游应用的组权限却全是空的？ | Entra ID 组声明与 IAM 权限映射 — 组 overage 静默失效、内置与通用 OIDC provider 的能力边界 |
| GitLab 接了 Keycloak SSO，按组限制登录 / 授予管理员的配置配了没反应？ | GitLab 接入 Keycloak OIDC — 组键位置、Premium 门禁与组名斜杠匹配 |
| OpenSearch Dashboards 用 Keycloak 登录成功了，进去却没有权限？ | OpenSearch Dashboards 接入 Keycloak OIDC — ID token 与 access token 的分工、roles claim 到 backend_roles 的映射 |
| 升级 Keycloak 26 后启动失败、issuer 变成内网地址、邮件链接不对？ | Hostname v2 配置与 v1 选项迁移 — 选项映射 + 校验错误对照 |
| 反向代理后面的 Keycloak 记不到真实客户端 IP，审计日志里全是代理地址？ | 反向代理真实客户端 IP 与信任边界 — proxy-headers / proxy-trusted-addresses、PROXY protocol 与伪造头自测 |
| 点了退出，另一个应用还是登录状态？ | IAM 单点登出排错 — RP-Initiated / Back-Channel 分工、互斥开关与验证清单 |
| 要把员工证、学历/资质证明做成可离线验证、只出示必要字段的数字凭证，IAM 侧怎么签发？撤销多久生效？ | IAM 数字凭证：Keycloak OID4VCI 签发与撤销边界 — preview 边界、证书链密钥与持有者绑定、撤销只阻止刷新的现实 |
安全评审要求授权参数（redirect_uri、scope）不许出现在浏览器 URL 和网关日志里？ | Keycloak PAR 实战 — 两种强制方式的错误码区别、客户端支持现状与回滚 |
| 应用连 RabbitMQ 要统一走 Keycloak，还要按 Keycloak 角色定 vhost 权限？ | RabbitMQ 接入 Keycloak OAuth 2.0 — client scope 的名字就是权限、scope_aliases 角色映射、管理 UI 与 frame_too_large 排错 |
| RBAC 够用吗？什么时候需要 ABAC 或 ReBAC？ | 授权模型深度对比 |
| 多租户 SaaS 怎么设计账号体系？ | 集成模式 + 身份生命周期 |
| 零信任到底是什么？怎么落地？ | 零信任与身份驱动安全 |
| 等保 / ISO 27001 对身份系统有什么要求？ | 审计与合规 |
全书结构
全书共 5 部分 · 24 章 · 约 13 万字，附术语速查表。
第一部分：IDaaS 基础（第 1–4 章）
什么是 IDaaS、IAM 核心理念（AAA 模型）、认证与授权深度辨析、身份生命周期管理。
第二部分：协议与标准（第 5–9 章）
OAuth 2.0/2.1、OpenID Connect、SAML 2.0、LDAP 与目录服务、SCIM 协议。不止讲字段，更讲安全边界、常见误区和生产踩坑。
第三部分：核心能力（第 10–13 章）
单点登录（SSO）、多因素认证（MFA / FIDO2 / Passkey）、身份联邦与代理、审计与合规。
第四部分：实现与实践（第 14–19 章）
Keycloak 架构剖析、Apereo CAS、Dex 身份代理、方案全景对比与选型框架、集成模式（网关/BFF/Sidecar）、Kubernetes 生产环境部署。
第五部分：高级主题（第 20–24 章）
授权模型深度对比（RBAC / ABAC / ReBAC）、安全最佳实践、性能扩展、去中心化身份（DID / VC）、零信任架构。
推荐阅读路线
| 目标 | 推荐路径 |
|---|---|
| 🔰 快速建立体系 | 简介与阅读指南 → 第 1–4 章 → 第 5–9 章 |
| 🔗 做 SSO / 协议接入 | OAuth 2.0 → OpenID Connect → SAML 2.0 → SSO → 集成模式 |
| 🏗️ 做身份平台选型 | Keycloak 架构 → CAS / Dex → 方案对比 → Kubernetes 部署 |
| 🛡️ 做权限治理 | AuthN vs AuthZ → RBAC/ABAC/ReBAC → 审计与合规 |
| 🔐 做安全增强 | MFA → 安全最佳实践 → 零信任 |
开始阅读
- 📖 系统阅读： 完整文档目录
- 🎯 按角色选读： 简介与阅读指南
- ⚙️ 动手实践： Keycloak 实战指南
这本书的特点
- 🧭 体系完整：从概念到协议、从能力到工程、从现状到趋势，一条主线贯穿。
- 🔬 协议深读：OAuth 2.0 / OIDC / SAML / SCIM 不止讲用法，更讲安全边界与常见误区。
- ⚙️ 工程落地：Helm / Operator 部署、网关与 BFF 集成、高可用与监控，配套真实配置示例。
- 🧩 方案对比：横向对比主流开源 IDaaS，附选型决策框架。
- 🛡️ 前沿覆盖：零信任、DID / VC、ReBAC、Passkey / WebAuthn 独立成章。
贡献与反馈
本书持续完善中。如果你发现技术错误、过时内容，或有真实落地案例想补充：
- 🐛 提交 Issue
- ✨ 提交 Pull Request
- 💬 有想看的主题？在 Issue 中标记
discussion
如果这本书对你有帮助，欢迎 ⭐ Star 支持，让更多需要的人看到它。
License
内容：
CC BY-NC 4.0（署名-非商业性使用 4.0 国际）
站点脚手架：沿用上游
Doks 许可