Uno strumento di gestione delle identità è un software che aiuta gli amministratori a controllare gli account utente, gli accessi e i diritti di accesso in tutta un'organizzazione. Spesso si colloca tra gli utenti e i sistemi principali, come Active Directory, gestendo reimpostazioni delle password, sblocchi degli account, registrazione, flussi di autenticazione e criteri di accesso. Poiché fa da intermediario per la fiducia, in genere ha accesso privilegiato a configurazioni sensibili e dati degli utenti.
Nella sicurezza informatica, questi strumenti sono importanti perché una debolezza nella loro API, nella logica di accesso o in un componente client può diventare una via rapida per entrare nell'ambiente. Gli attaccanti li prendono di mira per aggirare l'autenticazione, raccogliere credenziali, modificare le impostazioni degli account o eseguire codice sull'host che esegue il servizio. I difensori dovrebbero trattare gli strumenti di identità come infrastruttura critica: applicare rapidamente le patch, limitare le interfacce di gestione, monitorare l'uso delle API e ridurre l'esposizione alle reti fidate. Un difetto qui può trasformare una piattaforma di comodità in un gateway verso il resto dell'azienda.