为何白宫的Login.gov强制要求需要采用身份代理策略

行业趋势 | 2026年9月17日

美国白宫管理和预算办公室（OMB）近日向美国联邦政府领导层发布了一项重要指令，将Login.gov确立为所有面向公众的联邦政府网站的主要身份验证选项。

该政策指令设定了紧迫的合规时间节点，要求各机构在60天内完成需身份验证的门户清点，在240天内开展全面的数字身份风险评估，并在两年内全面投入运行。

OMB的指令将数字身份整合从政府机构的长远愿景转变为具体的合规要求，促使领导者在保护面向公众的网络边界的同时，实现旧有架构的现代化。

该指令要求各机构将Login.gov作为公民身份验证的默认身份提供商（IdP）加以推广，同时继续支持经批准的商业凭证服务提供商（CSP），以满足特定任务需求。

对于政府机构的CIO、CISO和企业架构师而言，这带来了双重挑战：既要遵守严格的时间要求，又要在复杂的基础设施中集成支持OpenID Connect（OIDC）和SAML的现代身份提供商。

“F5通过提供直接集成到F5 Application Delivery and Security Platform (ADSP)中的身份代理和边缘安全架构，简化合规工作。”

大多数联邦数字基础设施并非为直接集成OIDC而设计。数以千计的关键任务应用依赖传统身份验证机制（例如Kerberos、HTTP标头注入和专有会话令牌）；如果不进行大规模代码重构，这些机制无法原生解析现代IdP发出的断言。

与此同时，将公民流量集中到公共身份验证工作流，会使其成为AI驱动型攻击和自动化攻击的高价值目标。此类攻击包括凭据填充、账户接管和合成身份欺诈，甚至会在身份验证握手发生之前就以政府机构的注册端点为目标。

OMB指令概述了未来两年内的4个关键实施里程碑：

60天内（网站和API发现）：各机构必须向OMB提供一份经过验证的清单，其中列出所有需要用户身份验证的公共网站、Web应用程序和API。
240天内（数字身份风险评估）：各机构必须评估所有公共入口点的身份验证韧性、身份核验工作流和欺诈漏洞。
1年内（多提供商共存）：各机构必须采用美国总务管理局Login.gov最佳实践，将Login.gov设为默认选项，并继续与获批的商业凭证服务提供商（CSP，例如ID.me或CLEAR）并行使用，以服务特定用户群体。
两年内（全面投入运行）：各机构必须确保在所有范围内面向公众的联邦系统中全面部署Login.gov。

F5通过提供直接集成到F5 Application Delivery and Security Platform (ADSP)中的身份代理和边缘安全架构，帮助简化合规工作。机构无需手动重新设计应用架构，F5可直接在数据路径中充当集中式策略执行点和协议桥接器，帮助机构实现：

自动发现和攻击面映射（60天里程碑）： F5 API security和F5 Distributed Cloud Web App Scanning 可自动发现并编目混合云和多云环境中面向公众的Web应用、端点和影子API。结合来自F5 Insight for ADSP的遥测数据，各机构无需修改底层代码，即可生成全面且经过审计的已认证攻击面清单。
身份验证前欺诈和机器人管理（240天里程碑）：F5 Distributed Cloud Bot Defense在应用边缘运用行为AI遥测，在流量到达Login.gov或机构服务器之前阻止自动化凭据填充、暴力破解攻击和虚假注册尝试。F5 WAAP持续监控流量并检查API身份验证流程，为机构风险评估提供可量化的遥测数据。
身份代理和多IdP联合（1年里程碑）：F5 BIG-IP Zero Trust Access充当智能身份联合网关。该解决方案默认将新用户引导至Login.gov，同时将特定的高保障或旧版工作流路由至经批准的商业CSP，并对不同的上游提供商实施统一的授权策略。
无需重新架构的旧协议桥接（两年里程碑）：BIG-IP Zero Trust Access在入口代理处终止Login.gov OIDC和SAML断言，并将其转换为旧版后端所需的Kerberos（KCD）、HTTP标头或RADIUS会话。对于有高保障要求的国防和情报机构，F5 VELOS 和F5 rSeries机箱可为主权部署和物理隔离部署提供通过FIPS 140-2/3和DoDIN APL认证的性能。