एक नया कर्मचारी सोमवार सुबह आता है, एक ठेकेदार को एक प्रोजेक्ट तक पहुंच की आवश्यकता होती है, और एक आगंतुक गेस्ट WiFi पासवर्ड मांगता है। वे सभी एक ही इमारत में खड़े हैं, लेकिन उन्हें एक जैसी पहुंच नहीं मिलनी चाहिए। कर्मचारी को ईमेल, पेरोल, आंतरिक एप्लिकेशन और स्टाफ कनेक्टिविटी की आवश्यकता हो सकती है। ठेकेदार को एक सीमित अवधि के लिए एक साझा कार्यक्षेत्र की आवश्यकता हो सकती है। आगंतुक को इंटरनेट एक्सेस की आवश्यकता है, न कि व्यावसायिक प्रणालियों में जाने के मार्ग की।
यह अंतर इस बात का व्यावहारिक उत्तर है कि identity management क्या है। यह उन नीतियों, प्रक्रियाओं और तकनीकों का संग्रह है जिनका उपयोग कोई संगठन यह स्थापित करने के लिए करता है कि कोई व्यक्ति या सिस्टम कौन है, उस पहचान को सत्यापित करने के लिए, यह तय करने के लिए कि वह किस तक पहुंच सकता है, और परिस्थितियां बदलने पर उस पहुंच को हटाने के लिए करता है।
Identity management अब केवल IT लॉगिन स्क्रीन तक सीमित नहीं है। यह कस्टमर ऑनबोर्डिंग, धोखाधड़ी की रोकथाम, कॉर्पोरेट प्रशासन, नेटवर्क एक्सेस और नियामक नियंत्रणों का समर्थन करता है। UK में, डिजिटल पहचान क्षेत्र में जनवरी 2026 तक 275 सक्रिय फर्म थीं, जो यह दर्शाता है कि पहचान कैसे केवल एक प्रशासनिक कार्य के बजाय एक महत्वपूर्ण तकनीकी और आर्थिक इकोसिस्टम में विकसित हुई है। UK Digital Identity Sectoral Analysis Report के अनुसार, इस क्षेत्र ने 2024/2025 में वार्षिक राजस्व में लगभग £2.03 बिलियन उत्पन्न किया, सकल मूल्य वर्धित (Gross Value Added) में £1.04 बिलियन का उत्पादन किया, और 9,624 पूर्णकालिक समकक्ष (FTE) भूमिकाओं का समर्थन किया।
यह मार्गदर्शिका बुनियादी सिद्धांतों से इस विचार को विकसित करती है, फिर उसके जीवनचक्र, प्रमाणीकरण प्रोटोकॉल, मजबूत साइन-इन विधियों और वास्तविक नेटवर्क उदाहरणों जैसे कि गेस्ट WiFi, स्टाफ WiFi, प्रमाणपत्र, Passpoint और iPSK के माध्यम से एक पहचान का अनुसरण करती है। सुरक्षा लाभों के व्यापक परिचय के लिए, protect data with identity management एक्सेस-प्रबंधन के दृष्टिकोण से उपयोगी संदर्भ प्रदान करता है।
आधुनिक संगठनों में पहचान प्रबंधन का परिचय
कार्यालय का WiFi अनुरोध अक्सर सुरक्षा समीक्षा की तुलना में किसी संगठन की पहचान रणनीति को तेजी से उजागर करता है। यदि सभी को एक ही प्री-शेयर्ड कुंजी मिलती है, तो नेटवर्क एक स्थायी कर्मचारी, नौकरी छोड़ रहे ठेकेदार या रिसेप्शन डेस्क से पासवर्ड कॉपी करने वाले आगंतुक के बीच अंतर नहीं कर सकता है। कुंजी बदलना असुविधाजनक हो जाता है, इसलिए टीमें इसमें देरी करती हैं, और पुरानी पहुंच मूल व्यावसायिक आवश्यकता समाप्त होने के बाद भी लंबे समय तक बनी रहती है।
एक बेहतर डिज़ाइन व्यक्ति से शुरू होता है, पासवर्ड से नहीं। एक नया कर्मचारी संगठन के पहचान प्रदाता के माध्यम से साइन इन करता है और अपनी भूमिका से जुड़ा स्टाफ एक्सेस प्राप्त करता है। एक ठेकेदार को एक सीमित प्रोफ़ाइल मिलती है, जो शायद किसी प्रोजेक्ट नेटवर्क या विशिष्ट ऐप्स तक सीमित हो सकती है। एक अतिथि एक पृथक सेवा का उपयोग करता है जो आंतरिक प्रणालियों को उजागर किए बिना इंटरनेट कनेक्टिविटी प्रदान करती है।
पहचान विश्वास का एक निर्णय है
प्रत्येक एक्सेस अनुरोध एक साथ कई प्रश्न पूछता है:
- एक्सेस का अनुरोध कौन कर रहा है? संगठन को एक विश्वसनीय पहचान रिकॉर्ड की आवश्यकता होती है।
- उस व्यक्ति ने इसे कैसे साबित किया है? एक पासवर्ड, ऑथेंटिकेटर, सर्टिफिकेट या कोई अन्य कारक सबूत प्रदान कर सकता है।
- व्यक्ति को कहां तक पहुंचना चाहिए? एक्सेस भूमिका, डिवाइस, स्थान, जोखिम और व्यावसायिक उद्देश्य पर निर्भर करता है।
- एक्सेस कब तक उपलब्ध रहना चाहिए? अस्थायी कार्य और बदलती जिम्मेदारियों के लिए समाप्ति या समीक्षा की आवश्यकता होती है।
- बाद में क्या सबूत बचता है? लॉग और निर्णय जांच, जवाबदेही और अनुपालन का समर्थन करते हैं।
यह मॉडल कर्मचारियों और ग्राहकों पर लागू होता है, बल्किूर्तिकर्ताओं, सर्विस अकाउंट्स, डिवाइस और व्यावसायिक अधिकारियों पर भी लागू होता है। औपचारिक पहचान सत्यापन की दिशा में UK का कदम व्यापक बदलाव को दर्शाता है। किसी संगठन द्वारा लेनदेन, एनरोलमेंट या कानूनी कार्रवाई की अनुमति देने से पहले विश्वास बनाने के लिए पहचान का तेजी से उपयोग किया जा रहा है।
यह विषय IT से परे क्यों महत्वपूर्ण है
संगठनों ने अधिक सेवाओं को ऑनलाइन स्थानांतरित कर दिया है, और उपयोगकर्ता अब उम्मीद करते हैं कि डिजिटल ऑनबोर्डिंग त्वरित महसूस हो, जबकि नियामक उम्मीद करते हैं कि यह नियंत्रित हो। यह एक तनाव पैदा करता है। एक प्रक्रिया जो बहुत कम साक्ष्य मांगती है, वह प्रतिरूपण या धोखाधड़ी को सक्षम कर सकती है, जबकि एक प्रक्रिया जो बहुत अधिक मांगती है, वह वैध उपयोगकर्ताओं को निराश कर सकती है और सहायता की मांग बढ़ा सकती है।
पहचान प्रबंधन अलग-अलग निर्णयों को अलग करके उस तनाव के एक हिस्से को हल करता है। किसी व्यक्ति की पहचान को प्रमाणित करना, लौटने वाले उपयोगकर्ता को सत्यापित करना और किसी विशेष संसाधन तक पहुंच को अधिकृत करना आपस में संबंधित हैं, लेकिन वे समान कार्य नहीं हैं। उन्हें अलग रखने से टीमों को प्रत्येक अनुरोध पर एक जैसा घर्षण बढ़ाए बिना जोखिम के अनुसार अधिक मजबूत सुरक्षा जांच लागू करने में मदद मिलती है।
सबसे उपयोगी मानसिक मॉडल सरल है: पहचान प्रबंधन लोगों, प्रणालियों और एक्सेस निर्णयों को जोड़ने वाली एक विश्वास और अनुपालन परत है। लॉगिन तकनीक केवल एक घटक है। शासन, जीवनचक्र नियंत्रण, नेटवर्क नीति और प्रमाण इस तस्वीर को पूरा करते हैं।
पहचान और एक्सेस प्रबंधन (Identity and Access Management) के पीछे के मुख्य सिद्धांतों को समझना
एक पासपोर्ट और एक बिल्डिंग पास से शुरुआत करें। पासपोर्ट में ऐसे आइडेंटिफायर्स होते हैं जो आपको अन्य लोगों से अलग करते हैं। यह एक पहचान का प्रतिनिधित्व करता है, लेकिन पासपोर्ट स्वयं इस बात का प्रमाण नहीं है कि इसे धारण करने वाला व्यक्ति ही इसका असली मालिक है। एक सीमा अधिकारी साक्ष्यों की जाँच करता है, फिर यह निर्णय लागू करता है कि आप प्रवेश कर सकते हैं या नहीं।
डिजिटल पहचान और एक्सेस प्रबंधन इसी पैटर्न का अनुसरण करता है।
सरल भाषा में शब्दावली
एक आइडेंटिफायर एक लेबल है जिसका उपयोग किसी चीज़ को संदर्भित करने के लिए किया जाता है। एक उपयोगकर्ता नाम, कर्मचारी संख्या, ईमेल पता या डिवाइस का नाम एक रिकॉर्ड की पहचान कर सकता है। एक आइडेंटिफायर स्वतः ही यह साबित नहीं करता है कि इसका उपयोग कौन कर रहा है।
एक identity उस रिकॉर्ड से जुड़ी डिजिटल प्रस्तुति है। इसमें विभाग, नौकरी की भूमिका, प्रबंधक, रोजगार की स्थिति, ग्राहक संबंध या डिवाइस के स्वामित्व जैसे गुण शामिल हो सकते हैं। एक निर्देशिका इन गुणों को संग्रहीत और अपडेट करती है ताकि अन्य सिस्टम उनका उपयोग कर सकें।
प्रमाणीकरण इस बात का उत्तर देता है, "आप कैसे जानते हैं?" उपयोगकर्ता दावा की गई पहचान से जुड़ा प्रमाण प्रस्तुत करता है। वह प्रमाण एक रहस्य, एक कब्ज़ा कारक, एक बायोमेट्रिक विशेषता या एक क्रिप्टोग्राफिक प्रमाणपत्र हो सकता है।
Authorization इस सवाल का जवाब देता है, “आप क्या कर सकते हैं?” प्रमाणीकरण के बाद, एक नीति किसी एप्लिकेशन, फ़ाइल, नेटवर्क या प्रशासनिक कार्य तक पहुंच प्रदान करने से पहले उपयोगकर्ता की पहचान और संदर्भ का मूल्यांकन करती है। प्राधिकरण (authorization) के बिना प्रमाणीकरण किसी व्यक्ति की पहचान तो साबित कर देगा, लेकिन उनकी अनुमतियों के आसपास कोई उपयोगी सीमा प्रदान नहीं करेगा।
एक identity provider, जिसे अक्सर IdP कहा जाता है, प्रमाणीकरण (authentication) करता है या उसका समन्वय करता है और किसी अन्य सेवा को विश्वसनीय जानकारी भेजता है। प्राप्त करने वाला एप्लिकेशन सर्विस प्रोवाइडर होता है। फेडरेशन उनके बीच एक विश्वास का संबंध बनाता है, जिससे एक एप्लिकेशन अलग से पासवर्ड डेटाबेस बनाए रखने के बजाय एक स्थापित पहचान स्रोत पर भरोसा कर सकता है।
एक पहचान मॉडल हर उपयोगकर्ता के लिए उपयुक्त नहीं होता
Workforce identity management कर्मचारियों, ठेकेदारों और किसी संगठन की ओर से काम करने वाले अन्य लोगों को कवर करता है। Customer identity management उन बाहरी उपयोगकर्ताओं को सेवा प्रदान करता है जो अकाउंट बनाते हैं, सेवाएं खरीदते हैं या व्यक्तिगत जानकारी तक पहुँच प्राप्त करते हैं। इनके वर्कफ़्लो ओवरलैप होते हैं, लेकिन इनकी प्राथमिकताएं अलग होती हैं। Workforce access अक्सर रोजगार की भूमिकाओं और आंतरिक नीति का पालन करता है, जबकि ग्राहक पहुंच को धोखाधड़ी नियंत्रण, गोपनीयता, रूपांतरण और सहायता को संतुलित करना होता है।
न्यूनतम विशेषाधिकार (Least privilege) वह सिद्धांत है जो दोनों वातावरणों को जोड़ता है:
प्रत्येक पहचान को केवल उसके वर्तमान उद्देश्य के लिए आवश्यक एक्सेस प्रदान करें, और उस उद्देश्य के समाप्त होने पर उसे हटा दें।
यूके का बाजार इस ट्रस्ट लेयर के पैमाने को दर्शाता है। इस क्षेत्र की गतिविधि में पहचान सत्यापन, ऑनबोर्डिंग, धोखाधड़ी की रोकथाम और खाता-खोलने के वर्कफ़्लो शामिल हैं, सरकार ने अपने सेक्टर विश्लेषण में जनवरी 2026 तक 275 फर्मों को सक्रिय पाया है। वह व्यापकता दर्शाती है कि पहचान अब केवल आंतरिक डायरेक्टरी प्रशासन के बजाय सार्वजनिक सेवाओं, बैंकिंग, एंटरप्राइज सिस्टम और उपभोक्ता लेनदेन का समर्थन कैसे करती है।
पहचान जीवनचक्र (Identity Lifecycle) और गवर्नेंस एक साथ कैसे काम करते हैं
एक पहचान कोई स्थिर डेटाबेस प्रविष्टि नहीं है। यह तब बदलती है जब कोई व्यक्ति किसी संगठन में शामिल होता है, नई जिम्मेदारियाँ लेता है, टीमों के बीच स्थानांतरित होता है या संगठन छोड़ता है। मजबूत पहचान प्रबंधन इन परिवर्तनों को सहकर्मियों के बीच भेजे जाने वाले अनौपचारिक अनुरोधों के बजाय नियंत्रित घटनाओं के रूप में मानता है।
शामिल होने से लेकर छोड़ने तक (जॉइनर से लीवर)
प्रोविजनिंग पहचान रिकॉर्ड बनाती है और इसे आधिकारिक जानकारी से जोड़ती है, जो आमतौर पर मानव-संसाधन प्रणाली या ग्राहक प्लेटफ़ॉर्म से होती है। संगठन एप्लिकेशन या नेटवर्क एक्सेस देने से पहले व्यक्ति की स्थिति, विभाग और मैनेजर को स्थापित करता है।
ऑनबोर्डिंग प्रारंभिक एक्सेस पैकेज लागू करती है। एक फाइनेंस कर्मचारी को फाइनेंस एप्लिकेशन की आवश्यकता हो सकती है, जबकि एक अस्थायी कर्मचारी को अनुमतियों का एक संकीर्ण सेट प्राप्त होता है। ऑटोमेटेड वर्कफ़्लो सिस्टम के बीच मैन्युअल कॉपी करने को कम कर सकते हैं, लेकिन ऑटोमेशन को डिफ़ॉल्ट रूप से व्यापक एक्सेस देने के बजाय स्वीकृत नीति का पालन करना चाहिए।
एक role change वह जगह है जहां कई वातावरणों में जोखिम जमा हो जाता है। एक पदोन्नति, स्थानांतरण या नई परियोजना पुराने अधिकारों को हटाए बिना नई अनुमतियां जोड़ सकती है। समय के साथ, उस व्यक्ति के पास कई भूमिकाओं से पहुंच बनी रहती है, जिसे अक्सर प्रिविलेज क्रीप कहा जाता है। एक विश्वसनीय वर्कफ़्लो वर्तमान भूमिका से पात्रता की पुनर्गणना करता है और समीक्षा के लिए अपवाद भेजता है।
Offboarding खातों को निष्क्रिय करता है, सत्रों को रद्द करता है, समूह की सदस्यता को हटाता है और जुड़े हुए संसाधनों जैसे कि प्रमाणपत्रों, टोकन और साझा उपकरणों को संभालता है। इसका समय बहुत महत्वपूर्ण है। एक मैन्युअल टिकट की प्रतीक्षा करने से रोजगार के निर्णय और एक्सेस के निर्णय के बीच एक अंतर पैदा होता है।
गवर्नेंस गतिविधि को नियंत्रण में बदल देता है
गवर्नेंस यह परिभाषित करता है कि पहुंच को कौन स्वीकृत कर सकता है, मालिक कितनी बार इसकी समीक्षा करते हैं और संगठन क्या साक्ष्य रखता है। एक्सेस सर्टिफिकेशन किसी मैनेजर या एप्लिकेशन ओनर से यह पुष्टि करने के लिए कहता है कि अनुमतियां अभी भी उपयुक्त हैं। कर्तव्यों का पृथक्करण (segregation of duties) किसी एक व्यक्ति को ऐसे अधिकार संयोजनों को रखने से रोकता है जो किसी अनुचित लेनदेन को सक्षम कर सकते हैं।
उपयोगी परिचालन उपायों में प्रोविजन करने का समय, निरस्त करने का समय, अनसुलझी एक्सेस-समीक्षा निष्कर्ष और बिना स्पष्ट मालिक वाले अकाउंट्स की संख्या शामिल हैं। ये उपाय निर्णय का स्थान नहीं लेते हैं, लेकिन वे बताते हैं कि लाइफसाइकिल कहाँ धीमी मैन्युअल प्रक्रिया या अधूरे डेटा पर निर्भर है।
सरकार के विश्लेषण के अनुसार, पहचान सत्यापन, ऑनबोर्डिंग, धोखाधड़ी की रोकथाम और खाता खोलने के वर्कफ़्लो की निरंतर मांग को दर्शाते हुए, यूनाइटेड किंगडम के पहचान क्षेत्र का रोज़गार 2020 से प्रति वर्ष औसतन 11.7% की दर से बढ़ा है। यह मांग एक व्यावहारिक बिंदु की पुष्टि करती है: जैसे-जैसे पहचान प्रक्रियाएं व्यावसायिक सेवाओं के लिए केंद्रीय बनती जा रही हैं, वैसे-वैसे लाइफ़साइकल ऑपरेशन्स के लिए समर्पित स्वामित्व की आवश्यकता होती है।
नेटवर्क टीमों के लिए, यही तर्क कर्मचारियों की कनेक्टिविटी पर भी लागू होता है। एक staff WiFi lifecycle approach निर्देशिका परिवर्तनों को नेटवर्क अनुमतियों से जोड़ सकता है, ताकि भूमिका में बदलाव या प्रस्थान के बाद कोई अप्रबंधित वायरलेस क्रेडेंशियल पीछे न छूटे।
व्यावहारिक नियम: प्रत्येक एक्सेस प्रदान करने को एक ऐसे निर्णय के रूप में मानें जिसका एक मालिक, एक इच्छित अवधि और वापस लेने की एक विधि हो।
प्रमाणीकरण प्रोटोकॉल जो सिंगल साइन ऑन (Single Sign On) को शक्ति प्रदान करते हैं
प्रोटोकॉल पहचान के विश्वास के बुनियादी ढांचे की तरह हैं। वे यह परिभाषित करते हैं कि एक सिस्टम दूसरे सिस्टम को प्रमाणीकरण परिणाम या प्राधिकरण निर्णय कैसे संप्रेषित करता है। वे सभी एक ही समस्या का समाधान नहीं करते हैं, इसलिए उनके बीच चयन करने के लिए इस बात की स्पष्टता की आवश्यकता होती है कि अनुरोध किसी कर्मचारी के किसी ऐप में साइन इन करने से संबंधित है, किसी ग्राहक द्वारा API कॉल को अधिकृत करने से संबंधित है या किसी डिवाइस द्वारा किसी सुरक्षित नेटवर्क में शामिल होने से संबंधित है।
विभिन्न कार्यों वाले चार प्रोटोकॉल
| प्रोटोकॉल | प्राथमिक उद्देश्य | सर्वोत्तम उपयोग का मामला |
|---|---|---|
| SAML | प्रमाणीकरण दावों का फ़ेडरेटेड आदान-प्रदान | स्थापित वेब अनुप्रयोगों के लिए एंटरप्राइज सिंगल साइन-ऑन |
| OAuth | डेलीगेटेड ऑथराइजेशन | उपयोगकर्ता के पासवर्ड को उजागर किए बिना किसी एप्लिकेशन को रिसोर्स तक पहुंचने की अनुमति देना |
| OIDC | OAuth पर निर्मित उपयोगकर्ता पहचान परत | आधुनिक एप्लिकेशन जिन्हें साइन-इन और मानक पहचान दावों की आवश्यकता होती है |
| RADIUS के साथ 802.1X | केंद्रीकृत नेटवर्क प्रमाणीकरण और नीति विनिमय | एक पहचान सेवा द्वारा नियंत्रित एंटरप्राइज वायर्ड और वायरलेस एक्सेस |
SAML एंटरप्राइज सिंगल साइन-ऑन में अभी भी आम है। एक कर्मचारी पहचान प्रदाता के साथ प्रमाणित करता है, जो एप्लिकेशन को एक हस्ताक्षरित दावा भेजता है। एप्लिकेशन कॉन्फ़िगर किए गए संबंध पर भरोसा करता है और कर्मचारी से अलग एप्लिकेशन पासवर्ड मांगे बिना एक सेशन शुरू करता है।
OAuth मुख्य रूप से सौंपे गए अधिकार (delegated access) के बारे में है, न कि किसी व्यक्ति की पहचान साबित करने के बारे में। यह किसी क्लाइंट को उपयोगकर्ता की ओर से एक परिभाषित संसाधन का उपयोग करने की अनुमति प्राप्त करने देता है। OIDC, OAuth में एक पहचान परत जोड़ता है, जिससे यह उन आधुनिक अनुप्रयोगों के लिए उपयुक्त हो जाता है जिन्हें साइन-इन किए गए उपयोगकर्ता के बारे में मानकीकृत जानकारी की आवश्यकता होती है।
RADIUS with 802.1X एक अलग वातावरण की सेवा करता है। यह नेटवर्क एक्सेस उपकरणों, एक प्रमाणीकरण सेवा और एक उपयोगकर्ता या डिवाइस क्रेडेंशियल को जोड़ता है। इसका परिणाम एक नीतिगत निर्णय हो सकता है जो किसी डिवाइस को सही नेटवर्क पर रखता है या एक विशिष्ट एक्सेस प्रोफ़ाइल असाइन करता है।
विश्वास स्पष्ट होना चाहिए
सिंगल साइन-ऑन सुविधाजनक है क्योंकि उपयोगकर्ता प्रत्येक एप्लिकेशन के लिए अलग क्रेडेंशियल बनाए रखने के बजाय एक विश्वसनीय पहचान प्रदाता के साथ ऑथेंटिकेट करते हैं। फेडरेशन जिम्मेदारी भी पैदा करता है। एडमिनिस्ट्रेटर को साइनिंग कुंजियों की रक्षा करनी चाहिए, असर्शन्स को मान्य करना चाहिए, क्लेम मैपिंग को परिभाषित करना चाहिए और उन ट्रस्ट संबंधों को हटाना चाहिए जिनकी अब आवश्यकता नहीं है।
यूके सरकार का मार्गदर्शन पहचान प्रमाणन को सेवा प्रमाणीकरण से अलग करता है। GOV.UK's digital identity guidance प्रमाणन और सत्यापन को GPG 45 से जोड़ता है, जबकि सेवा प्रमाणीकरण GPG 44 द्वारा शासित होता है। यह अलगाव संगठनों को हर लॉगिन को एक समान घटना के रूप में मानने के बजाय सेवा के लिए आश्वासन का एक उचित स्तर चुनने में मदद करता है।
ऐसी टीमें जिन्हें इस बात की अधिक विस्तृत व्याख्या की आवश्यकता है कि कैसे एक विश्वसनीय साइन-इन विभिन्न सेवाओं तक फैल सकता है, वे unified global unified login explained से भी लाभ उठा सकती हैं। नेटवर्क-विशिष्ट डिप्लॉयमेंट के लिए, RADIUS-as-a-Service परिसर में हर RADIUS घटक को बनाए रखे बिना प्रमाणीकरण को केंद्रीकृत करने के लिए एक आर्किटेक्चरल विकल्प है।
MFA और पासवर्डलेस विकल्पों के साथ मजबूत प्रमाणीकरण (Authentication)
एक प्रोटोकॉल यह बताता है कि सिस्टम आपस में विश्वास का आदान-प्रदान कैसे करते हैं। एक प्रमाणीकरण कारक यह बताता है कि उपयोगकर्ता प्रमाण के रूप में क्या प्रस्तुत करता है। इन विचारों को अलग रखने से एक आम गलती से बचा जा सकता है: यह मान लेना कि सिंगल साइन-ऑन लागू करने से प्रमाणीकरण स्वचालित रूप से मजबूत हो जाता है।
एक प्रमाणीकरण सीढ़ी (Authentication Ladder) का निर्माण करें
पासवर्ड एक knowledge factor है, कुछ ऐसा जिसे उपयोगकर्ता जानता है। पासवर्ड परिचित बने हुए हैं, लेकिन उपयोगकर्ता उनका पुन: उपयोग करते हैं, कमजोर पासवर्ड चुनते हैं या फ़िशिंग के माध्यम से उनका खुलासा कर देते हैं। एक पासवर्ड मैनेजर और समझदारी भरी नीति बेसलाइन में सुधार कर सकती है, लेकिन केवल एक पासवर्ड हमलावर को हराने के लिए एक आसान लक्ष्य देता है।
मल्टी-फैक्टर ऑथेंटिकेशन विभिन्न श्रेणियों के साक्ष्यों को जोड़ता है। ऑथेंटिकेटर ऐप या हार्डवेयर टोकन द्वारा जनरेट किया गया कोड उस चीज़ को दर्शाता है जो उपयोगकर्ता के पास है। SMS एक अतिरिक्त जाँच प्रदान कर सकता है, लेकिन संगठनों को उच्च-जोखिम वाले परिदृश्यों के लिए इसकी उपयुक्तता का आकलन करना चाहिए क्योंकि फोन चैनल पर हमला किया जा सकता है या इसे डायवर्ट किया जा सकता है।
बायोमेट्रिक्स उस चीज़ का प्रतिनिधित्व करते हैं जो उपयोगकर्ता है। फिंगरप्रिंट और चेहरे की पहचान साइन-इन को तेज़ बना सकते हैं, लेकिन उन्हें सावधानीपूर्वक गोपनीयता डिज़ाइन और सुरक्षित डिवाइस हैंडलिंग की आवश्यकता होती है। पासवर्ड के विपरीत, बायोमेट्रिक विशेषता को उजागर होने के बाद बदला नहीं जा सकता है।
पासवर्डलेस को सावधानीपूर्वक डिज़ाइन की आवश्यकता होती है
पासवर्डलेस ऑथेंटिकेशन उपयोगकर्ता को फिर से उपयोग किए जाने वाले सीक्रेट को टाइप करने के लिए कहे बिना स्वामित्व साबित करने के लिए डिवाइस, क्रिप्टोग्राफिक की या प्लेटफ़ॉर्म ऑथेंटिकेटर का उपयोग करता है। FIDO2 सुरक्षा कुंजियाँ और पासकीज़ मजबूत, फ़िशिंग-प्रतिरोधी ऑथेंटिकेशन प्रदान कर सकते हैं जब आसपास के एनरोलमेंट, रिकवरी और अकाउंट-रिप्लेसमेंट प्रक्रियाओं को भी नियंत्रित किया जाता है।
एक व्यावहारिक कार्यक्रम आमतौर पर जोखिम के आधार पर आगे बढ़ता है -
- कम-घर्षण वाली सेवाएँ (Low-friction services): सिंगल साइन-ऑन और एक अच्छे से प्रबंधित पासवर्ड प्रक्रिया का उपयोग करें जहाँ सुरक्षा से समझौता होने के परिणाम सीमित हों।
- संवेदनशील एप्लिकेशन: MFA की आवश्यकता होती है और डिवाइस के स्वास्थ्य, स्थान या असामान्य व्यवहार के आधार पर सशर्त नीतियां लागू की जाती हैं।
- विशेषाधिकार प्राप्त संचालन (Privileged operations): फ़िशिंग-प्रतिरोधी तरीकों, अलग एडमिनिस्ट्रेटर खातों और मजबूत सेशन नियंत्रणों को प्राथमिकता दें।
- साझा या अप्रबंधित डिवाइस: स्थायी गोपनीयता (secrets) को एम्बेड करने से बचें और प्रमाणपत्रों या कम समय के लिए मान्य क्रेडेंशियल्स का उपयोग करें जहाँ प्लेटफॉर्म उनका समर्थन करता है।
सबसे अच्छा कारक हमेशा अकेले में सबसे मजबूत कारक नहीं होता है। इसे उपयोगकर्ता आबादी, डिवाइस एस्टेट, रिकवरी प्रक्रिया और सपोर्ट टीम के लिए भी काम करना चाहिए। वायरलेस एक्सेस के लिए, एक passwordless WiFi model साझा क्रेडेंशियल को पहचान-संबद्ध एक्सेस से बदलकर नेटवर्क ऑनबोर्डिंग पर भी यही सिद्धांत लागू कर सकता है।
नेटवर्क और WiFi एक्सेस पर पहचान प्रबंधन के वास्तविक दुनिया के उदाहरण
एक होटल अतिथि, एक कर्मचारी और एक भवन ठेकेदार सभी एक ही भौतिक एक्सेस पॉइंट से जुड़ सकते हैं, लेकिन पहचान प्रबंधन को उन्हें अलग-अलग डिजिटल गंतव्य देने चाहिए। अतिथि को इंटरनेट के लिए एक सरल मार्ग की आवश्यकता होती है। कर्मचारी को सुरक्षित आंतरिक कनेक्टिविटी की आवश्यकता होती है। ठेकेदार को चुनिंदा सेवाओं तक पहुंच के साथ एक समय-सीमित प्रोफ़ाइल की आवश्यकता हो सकती है।
अतिथि और कर्मचारी एक्सेस को एक ही सीक्रेट साझा नहीं करना चाहिए
एक Captive Portal किसी ईमेल पते, वाउचर या सोशल साइन-इन के माध्यम से अतिथि की पहचान कर सकता है, लेकिन नेटवर्क को अभी भी अलगाव और नीति प्रवर्तन की आवश्यकता होती है। एक साझा अतिथि पासवर्ड एट्रिब्यूशन को कमजोर बनाता है और एक अजीब परिचालन प्रश्न खड़ा करता है जब पासवर्ड इच्छित दर्शकों से परे फैल जाता है।
कर्मचारी पहुंच के लिए एंटरप्राइज़ ऑथेंटिकेशन, सर्टिफिकेट या Passpoint का उपयोग किया जा सकता है। Passpoint एक संगत डिवाइस को कम मैन्युअल हस्तक्षेप के साथ एक विश्वसनीय नेटवर्क खोजने और उससे जुड़ने की अनुमति देता है, जबकि एन्क्रिप्टेड ऑनबोर्डिंग एक सामान्य वायरलेस कुंजी द्वारा उत्पन्न होने वाले जोखिम से बचा सकती है। OpenRoaming इस मॉडल को भाग लेने वाले नेटवर्क पर विस्तारित करता है, जिससे एक उपयोगकर्ता बार-बार अपरिचित पोर्टल्स को स्वीकार करने के बजाय एक स्थापित पहचान संबंध पर भरोसा कर सकता है।
विरासत (लीगेसी) उपकरणों को एक अलग मार्ग की आवश्यकता होती है
प्रिंटर, सेंसर और पुराने हैंडहेल्ड डिवाइस आधुनिक एंटरप्राइज़ प्रमाणीकरण का समर्थन नहीं कर सकते हैं। iPSK, या पहचान-आधारित प्री-शेयर्ड कीज़, नेटवर्क सेगमेंटेशन को बनाए रखते हुए अलग-अलग डिवाइस या समूहों को उनके खुद के क्रेडेंशियल दे सकते हैं। यदि किसी क्रेडेंशियल को वापस लेने की आवश्यकता होती है, तो एडमिनिस्ट्रेटर हर दूसरे डिवाइस के एक्सेस को बदले बिना उस क्रेडेंशियल को हटा सकते हैं।
डिजाइन को अभी भी इन्वेंट्री, स्वामित्व और समाप्ति की आवश्यकता होती है। एक अलग कुंजी स्वचालित रूप से एक सुरक्षित पहचान नहीं बन जाती है यदि कोई नहीं जानता कि कौन सा डिवाइस इसका उपयोग करता है या इसे कब अक्षम किया जाना चाहिए।
Map।डायरेक्टरी परिवर्तन नेटवर्क तक पहुंचने चाहिए
कर्मचारियों के लिए, Microsoft Entra ID, Google Workspace or Okta के साथ एकीकरण रोजगार निर्देशिका को WiFi नीति से जोड़ सकते हैं। एक नए कर्मचारी को इच्छित प्रोफ़ाइल प्राप्त होती है, जबकि निर्देशिका में बदलाव पहुंच को हटाने का कारण बन सकता है। Meraki, Aruba, Ruckus, Mist और UniFi जैसे नेटवर्क प्लेटफॉर्म अपने समर्थित एकीकरण और प्रमाणीकरण विधियों के माध्यम से परिणामी नीति को लागू कर सकते हैं।
यही विश्वास का सिद्धांत कॉर्पोरेट पंजीकरण में भी दिखाई देता है। आर्थिक अपराध और कॉर्पोरेट पारदर्शिता अधिनियम 2023 के तहत 18 नवंबर 2025 को कंपनी अधिकारियों के लिए पहचान सत्यापन एक कानूनी आवश्यकता बन गया। 31 दिसंबर 2025 को समाप्त होने वाली पहली रिपोर्ट की गई अवधि में, Companies House ने 823,771 सत्यापित नियुक्तियां और 6.27% अनुपालन दर दर्ज की, जैसा कि इसके पहचान सत्यापन प्रबंधन सूचना में दिखाया गया है। ये आंकड़े दर्शाते हैं कि कैसे पहचान नियंत्रण औपचारिक शासन का हिस्सा बन सकते हैं, न कि केवल एक तकनीकी सुविधा।
आपकी पहचान रणनीति के लिए सर्वोत्तम अभ्यास, जोखिम और अगले कदम
कमजोर पहचान प्रबंधन आमतौर पर किसी एक नाटकीय डिजाइन त्रुटि के बजाय सामान्य परिचालन कमियों के कारण विफल होता है। एक पूर्व कर्मचारी का अकाउंट बना रहता है, एक ठेकेदार एक बड़े समूह में बना रहता है, एक एप्लिकेशन ओनर समीक्षा किए बिना पहुंच को मंजूरी दे देता है, या एक साझा WiFi कुंजी प्रसारित होती रहती है क्योंकि इसे बदलने से सभी को असुविधा होगी।
एक उपयोगी रणनीति की शुरुआत पहचानों (identities) को निर्णयों से मैप करने के साथ होती है। उन लोगों, ग्राहकों, डिवाइसों, सर्विस अकाउंट्स और व्यावसायिक अधिकारियों की सूची बनाएं जिन्हें पहचान की आवश्यकता है। फिर उन सिस्टमों की पहचान करें जो आधिकारिक रिकॉर्ड बनाते हैं, वे एप्लिकेशन जो पहचान की जानकारी का उपयोग करते हैं और वे नेटवर्क नियंत्रण जो एक्सेस लागू करते हैं।
सामान्य जोखिमों को नियंत्रणों में बदलें
क्रेडेंशियल का दोबारा उपयोग तब कम आकर्षक हो जाता है जब एप्लिकेशन उपयुक्त स्थानों पर फेडरेशन, MFA और पासवर्डलेस तरीकों का उपयोग करते हैं।
जब प्रत्येक पहचान का एक मालिक, एक रोजगार या सेवा की स्थिति और एक परिभाषित offboarding प्रक्रिया होती है, तो अनाथ खातों को ढूंढना आसान हो जाता है।
विशेषाधिकारों का बढ़ना (प्रिविलेज क्रीप) तब कम हो जाता है जब भूमिका परिवर्तन अन्य समूह सदस्यता जोड़ने के बजाय एक्सेस की पुनर्गणना करते हैं।
अदृश्य अपवाद तब प्रबंधनीय बन जाते हैं जब अस्थायी एक्सेस की एक समाप्ति तिथि होती है और विशेषाधिकार प्राप्त क्रियाएं समीक्षा योग्य लॉग उत्पन्न करती हैं।
खराब नेटवर्क एट्रिब्यूशन में तब सुधार होता है जब कर्मचारियों, मेहमानों और उपकरणों को एक सार्वभौमिक वायरलेस सीक्रेट के बजाय पहचान से जुड़े प्रोफाइल प्राप्त होते हैं।
गवर्नेंस को उन चीजों को मापना चाहिए जो परिचालन रूप से मायने रखती हैं। प्रोविजनिंग और निरस्तीकरण के समय, अतिदेय एक्सेस समीक्षाओं, बिना मालिकों वाले अकाउंट्स, पुरानी अनुमतियों और अनुमोदन की प्रतीक्षा कर रहे अपवादों को ट्रैक करें। ये उपाय लीडर्स को यह देखने में मदद करते हैं कि क्या संगठन किसी व्यक्ति की स्थिति बदलने पर कार्रवाई कर सकता है, न कि केवल यह कि लॉगिन सफल रहा या नहीं।
अभिसरण (convergence) को एक डिज़ाइन समस्या के रूप में मानें
कर्मचारी पहचान, ग्राहक पहचान और वैधानिक पहचान सत्यापन तेजी से एक ही प्रश्न से जुड़ रहे हैं: क्या संगठन अनुरोध करने वाली इकाई पर भरोसा कर सकता है? उन्हें एक ही समान वर्कफ़्लो में मजबूर नहीं किया जाना चाहिए, क्योंकि एक ग्राहक अकाउंट, एक स्टाफ एडमिनिस्ट्रेटर और एक कंपनी अधिकारी के जोखिम अलग-अलग होते हैं। उन्हें प्रमाणन, प्रमाणीकरण, प्राधिकरण, साक्ष्य और निरसन के लिए सुसंगत सिद्धांतों की आवश्यकता होती है।
पहले उल्लेखित सरकारी क्षेत्र के विश्लेषण के अनुसार, यूनाइटेड किंगडम के डिजिटल पहचान क्षेत्र ने 2024/2025 में लगभग £2.03 बिलियन का वार्षिक राजस्व उत्पन्न किया और 9,624 पूर्णकालिक समकक्ष भूमिकाओं को सक्षम किया। यह पैमाना दर्शाता है कि क्यों पहचान रणनीति अब सुरक्षा, अनुपालन, नेटवर्किंग, HR, उत्पाद और ग्राहक-अनुभव टीमों के संयुक्त ध्यान की हकदार है।
एक उच्च-मूल्य वाले मार्ग से शुरुआत करें, जैसे कि स्टाफ WiFi या शामिल होने वाले और छोड़ने वाले सदस्यों की पहुंच। आधिकारिक स्रोत का दस्तावेजीकरण करें, नीति को परिभाषित करें, नियमित निर्णयों को स्वचालित करें, अपवादों की समीक्षा करें और निरसन (revocation) का परीक्षण करें। फिर इस पैटर्न को एप्लिकेशन, मेहमानों, उपकरणों और ग्राहक सेवाओं तक विस्तारित करें, बिना यह माने कि एक उपकरण या एक प्रमाणीकरण कारक हर पहचान के अनुकूल है।
Purple पहचान-आधारित पहुंच को गेस्ट, स्टाफ और मल्टी-टेनेंट WiFi वातावरण से जोड़ता है, जिसमें पासवर्ड रहित ऑनबोर्डिंग, Passpoint और उन संगठनों के लिए डायरेक्टरी इंटीग्रेशन शामिल हैं जो साझा नेटवर्क क्रेडेंशियल्स को नियंत्रित एक्सेस नीतियों से बदलना चाहते हैं। यह देखने के लिए कि इसका प्लेटफ़ॉर्म हॉस्पिटैलिटी, रिटेल, हेल्थकेयर, प्रॉपर्टी और एंटरप्राइज नेटवर्क पर व्यावहारिक पहचान प्रबंधन का कैसे समर्थन कर सकता है, Purple पर जाएं।
