身份与访问管理（Identity and Access Management，IAM） 是围绕数字身份及其资源访问权限建立的一组制度、流程和技术。它管理“谁或什么正在访问系统”“如何确认其身份”“允许执行哪些操作”，以及这些权限在生命周期中如何创建、变更和撤销。
NIST 对身份与访问管理的说明将其概括为对系统内身份的管理；在组织的信息系统中，还包括建立和管理用户角色及访问权限。
主要环节
身份与访问管理通常包含：
- 身份建立：为用户、设备、应用或服务建立能够被系统识别的数字身份；
- 身份认证：验证访问者是否能够证明所声明的身份；
- 授权：根据身份、角色、属性、资源和环境等信息决定是否允许某项操作；
- 访问控制：执行授权决策，允许合法访问并阻止未获授权的访问；
- 生命周期管理：在加入、调岗、离开或职责变化时创建、调整和撤销账号与权限；
- 审计：记录身份和权限变化以及关键访问行为，以便追踪和复核。
人类与非人类身份
IAM 不只面向自然人。服务账号、应用、工作负载、设备和自动化程序也可能拥有数字身份。不同身份适合采用不同的认证方式和凭证管理策略，但都应遵循最小权限原则，只获得完成任务所需的访问能力。
认证、授权与访问控制
认证、授权和访问控制关系紧密，但含义不同：
- 认证关注“访问者能否证明自己是谁”；
- 授权关注“该主体是否可以执行这项操作”；
- 访问控制负责依据规则作出或执行允许、拒绝等决定。
认证成功并不表示主体可以访问所有资源。系统仍需针对具体资源和操作进行授权与访问控制。