3分钟搞定网站seo优化外链建设,新站seo竞价,免费做二维码网站,做什么软件做网站效率最好业内在用户统一身份认证及授权管理领域#xff0c;主要关注 4 个方面#xff1a;集中账号管理#xff08;Account#xff09;、集中认证管理#xff08;Authentication#xff09;、集中授权管理#xff08;Authorization#xff09;和集中审计管理#xff08;Audit主要关注 4 个方面集中账号管理Account、集中认证管理Authentication、集中授权管理Authorization和集中审计管理Audit 简称 4A 管理。后来发展了 IAMIdentity and Access Management即身份识别与访问管理的相关技术在云计算等领域应用广泛。整体来说不管是 4A 还是 IAM 还是未来可能的其他技术体系都可以归纳为『统一身份治理』的范畴。本文基于『统一身份治理』的概念提出了统一身份管理系统Unified Identity Management System的设计思路。 一、统一身份管理系统Unified Identity Management System
统一身份管理系统简称 UIMS可以简单理解为多租户软件架构的升级版通常是整个平台帐号和权限管控的基础性系统平台下所有系统的账户管理、身份认证、用户授权、权限控制等行为都必须经由该系统处理提供帐号密码管理、基本资料管理、角色权限管理等功能。UIMS 基于『统一身份治理』的概念可划分为两级账户体系、基础权限模块和基础信息模块三大模块。其中两级账户体系将账户分为组织实体帐号和个人实体账户两大类个人实体从属于组织实体也可以不从属任何组织实体且个人实体可同时从属于多个组织实体基础权限模块将各业务系统的资源权限进行统一管理和授权基础信息模块用于描述组织实体和个人实体的基本信息如组织实体名称、地址、法人个人实体姓名、电话号码、性别等基础信息。UIMS 提供统一的 API 与各子系统连接。
从整个平台的角度来看UIMS 除了提供上述功能和服务还应该满足以下需求
编号需求描述1软件授权云平台付费授权机制可按时间、功能、数量等进行付费授权2组织入驻允许组织主动申请加入平台3实名认证个人实名认证、组织实名认证4资质审核个人和组织的资质审核如对获得的证书或荣誉进行审核5组织绑定个人账户绑定组织与组织建立关联关系6组织解绑个人账户与组织进行解绑7账户注销个人账户注销并销毁所有个人资料和档案8统一登录即 SSO9统一注册提供统一的用户注册页面
因此从功能的角度可以将 UIMS 划分为以下模块
一功能系统设置 System Configuration系统标识管理 System Identifiers Management服务账户管理 Service Accounts Management账户实体管理 Account Entities Management组织实体管理 Organization Entities Management组织架构管理 Organization Management个体账户管理 Individual Accounts Management账户权限管理 Account Permissions Management用户组管理 User Group Management角色管理 User Roles Management资源权限管理 Permission Resources Management权限策略组管理 Permission Group Management认证审核管理 Certification Management个人认证管理 Individual Certification Management组织认证管理 Organization Certification Management资质审核管理 Qualification Management付费授权管理 Authorization Management组织授权管理 Organization Authorization Management二页面统一注册页面 Unified Signup Page统一登录页面 Unified Signin Page组织入驻页面 Organization Signup Page个人实名认证页面 Individual Authentication Page组织实名认证页面 Organization Authentication Page三APIIDPIdentity Provider相关的APIs业务相关的APIs其中组织绑定和解绑的功能可以放到『组织实体管理』 或『个体账户管理』的功能中。需要注意的是组织绑定与解绑功能是否与业务系统关联下文将进行阐述。 二、两级账户体系和基础权限模块
基于『统一身份治理』的理念采用两级账户体系UIMS 提供接口实现多系统融合的平台级 SaaS。两级账户体系将账户类别分为组织实体和个人实体两类详见下文用户分类。个人实体可以从属于组织实体可以从属于多个组织实体也可以不从属。个人账户体系和组织账户体系在云平台内享有的权限是不一样的虽然大部分功能和服务两个体系的实体均可独立使用互不干扰但部分功能和服务有所不同。
1. 基本原则
平台级 SaaS 模式账户体系应遵循以下几个基本原则
个人账户统一原则个人账户一次注册全平台通用类似于全网通行证和 SSO注册和登录都在 UIMS 进行。业务权限独立原则每个子系统的权限体系是独立管理的。『个人账户统一原则』明确了账户体系是统一的但是对于每个子系统而言每个账户所能使用的功能和服务所能查看的数据权限是独立维护的比如 XXX 公司组织-研发T3组用户组-张三用户-研发人员角色在 CRM 系统中拥有的资源权限详见下文与其在 OA 系统中的所拥有的资源权限肯定是不一致的。组织实体隔离原则不同的组织实体之间是相互隔离独立管理的。每个组织实体可以自行组织自己的组织体系、账户体系和权限体系。不同的组织实体资源权限也是隔离的。从属关系隔离原则非强制个体账户与组织实体的从属关系是基于单独的业务系统存在的『个人账户统一原则』明确的仅是个人账户的全网统一但组织实体、从属关系并没有统一并且是隔离的。比如在 CRM 系统中张三用户从属于 XXXX 公司组织但在 OA 系统中张三用户默认是不从属于任何组织的从属关系受到具体业务系统的影响。事实上这个原则是非强制的具体取决于各自的业务逻辑和业务场景。如果要简化从属关系的管理那么可以不遵循此原则即个体账户与组织实体的从属关系是全平台统一的与业务系统无关但这会为降低平台的灵活性和扩展性。灵活性和复杂度之间通常要做一个取舍。
2. 权限原则
类似于 RBAC 原则平台的权限体系采用 OS-RBAC 的概念
OSO 代表 Organization 组织S 代表 System 业务系统即权限是受到组织实体和业务系统双重影响的。RBAC基于角色的访问控制。OS-RBAC组织实体-业务系统-用户-角色-权限标识。分为两种情况一种是有从属组织的个人账户另一种是无从属组织的个人账户后者无组织但同样遵守 RBAC 的权限限定且其权限标识体系允许组织为空。资源标识分为逻辑资源和实体资源。逻辑资源如菜单、页面、表单、按钮组、按钮、字段等功能型资源或人员档案、考勤记录、任务记录、位置数据、积分、电子钱包等数据资源实体资源如椅子、凳子、电脑、车辆等实物资产另外有时候部分逻辑资源也可以归纳为实体资源如电子照片、视频文件、音乐文件等。条件标识权限的约束条件主要有可见组织架构范围限定、时间限定、区域限定等。例如某权限仅财务部可见有效期至11月2号这里『财务部』属于可见组织架构范围限定『至11月2号』则是时间限定。权限标识用于标识账户实体在指定的条件下拥有访问某项功能、查看某些数据的权限。资源标识和条件标识与权限标识关联权限标识与角色关联角色与用户关联。例如张三用户-研发人员角色-拥有『研发部』所有人员档案的增上改查权限。业务系统标识符受『业务权限独立原则』的约束与传统的资源权限有所不同的是所有权限标识都与具体的业务系统关联例如企业CRM系统就是一个业务系统具体的权限标识与业务系统有直接的关系例如菜单、表单、页面、按钮、图片等资源。权限策略组权限策略组是在 OG-RBAC 基础上设置的为简化权限配置的一种辅助手段在实际应用中可以不创建策略组。策略组分为平台级策略组和业务系统级别的策略组两种策略组的作用域仅限于相同组织实体内部但对于无从属组织的个人账户除外。策略组与角色类似可以将资源权限绑定到策略组中但不同之处是平台级策略组可以横跨业务系统进行平台级的资源权限绑定。因为账户体系跨越多个子系统在遵循『业务权限独立原则』的限定下每个子系统都需要做一套权限配置操作上较为繁琐因此充分运用策略组可以大大简化权限配置工作。平台可以内置多套常用的策略组终端用户可以直接选用策略组也可以基于某个策略组为基础进行修改。值得注意的是策略组的作用域仅限于相同组织实体内部即策略组可以横跨业务系统但不能同时作用于多个组织实体。权限交集与 RBAC2 的静态职责分离-角色互斥原则相反平台采用多角色权限并集的设计。『权限标识』示例在企业CRM系统[1]中在2019年3月5号以前[2]对百度科技[3]研发中心[4]在广东区域[5]的所有人事档案[6]拥有只读权限[7]。 [1]业务系统标识[2]条件标识时间限定[3]组织实体标识[4]条件标识可见组织架构范围限定[5]条件标识区域范围限定[6]资源标识[7]权限类型。
3. 从属关系梳理 为简单起见我们将不遵守『从属关系隔离原则』即用户实体与组织实体的从属关系与业务系统无关。系统涉及的实体类型有 业务系统系统标识服务账户客户端个人账户实体组织账户实体组织架构用户组非必选项角色实体权限实体资源实体限定条件实体权限策略组非必选项
3.1 与组织实体强关联的实体 基于『组织实体隔离原则』这类实体类型不能脱离组织实体独立存在。 组织架构角色实体权限实体资源实体限定条件实体由于组织架构不能脱离组织实体单独存在因此当用户实体绑定组织架构时该用户实体必须隶属于该组织架构所从属的组织实体。同理可知以下从属关系遵从同样的约束——即每对关系的两个实体对象必须属于相同的组织实体 用户与角色角色与权限资源与权限限定条件与权限
3.2 与业务系统强关联的实体 基于『业务系统隔离原则』这类实体类型不能脱离业务系统独立存在。 权限实体资源实体限定条件实体
4. 实体类型
基于以上各项原则实体类型又分为以下几种情况
组织实体未认证在组织实体的模式下可以按照组织的管理要求独立设置一套组织架构、账户和数据权限体系比如设置下属企业、分公司、部门、岗位职务、角色权限组织实体缺省分配一个管理员帐户拥有全部权限由管理员初始化配置信息。组织实体已认证拥有未认证组织实体的所有权利但已认证的实体通常拥有更多的配额更少的功能限制此外有些特定的业务功能和业务流程必须是实名认证的实体才能使用比如支付和交易。个人实体未认证在个人实体的模式下享受的权利由具体的业务系统决定原则上个人实体作为独立的账户类型应该享有基本的功能权限和数据权限如个人中心的各项功能等。个人实体已认证与组织实体已认证类似。个人实体未从属于组织未从属组织的个人实体账户与上述个人实体类型一致。个人实体从属单个组织从属单个组织的个人实体账户除了具备个人实体账户的原本权利外还受到组织权限的约束原本个人实体不享受的权利可能现在可以享受原本享受的权利可能现在不可以享受了。个人实体从属多个组织当个人实体账户从属于多个组织时除了个人账户原本拥有的权利外所从属的组织所带来的权利须遵循『组织实体隔离原则』且受到『从属关系隔离原则』的约束具体的权利配置由各个业务系统独立管理。这里有两种情况一是在用户登录时必须选择所属的组织机构类似于 LOL 游戏在登录时须选择所属的区域和服务器二是在用户登录后可以自由选择组织实体类似于阿里云或华为云的区域选择在用户未选择所属组织时应当按照未从属于组织的个人实体账户对待。组织管理员组织管理员拥有该组织内部的全部资源权限例如可以创建个人账户在个人未完成首次登录前可以删除解雇修改在个人完成登录后则权限移交给了个人删除解雇时只是个人脱离组织个人不再拥有组织员工的权限在组织内的个人工作经历仍然保留组织清除离职员工则这些在职经历将不为企业可管理但个人自己可见不可变更。
5. 用户分类 6. 组织分类 三、基础信息模块
基础信息主要针对个人实体和组织实体如企业工商信息、通用信息等要满足灵活扩展的需求实体的类型种类繁多随着业务场景的变化信息结构的变化也可能比较频繁。在技术上建议采用以下两种方式应对
1. EAV 数据模型
EAV 即 Entity实体-Attribute属性-Value值数据模型将传统的 ORM 映射模型——即实体属性与数据库表字段一一对应的模型变换为实体属性与数据表的行记录一一对应的模型。EAV 模型大大增加了数据映射和相关业务逻辑的复杂程度但是具备高度的灵活性能够满足随时变化的信息结构满足动态变更的实体结构、满足字段级权限控制、满足字段级数据版本历史等功能。
2. 采用松散型数据结构的数据库方案
其中的代表便是 MongoDB一个介于关系数据库和非关系数据库之间的分布式文件存储数据库产品在 CAP 理论中属于 CP 范畴支持松散数据结构支持复杂的混合数据类型支持 JSON 和文档存储。采用此方案的优势比较明显除了能够满足 EAV 模型所具备的大部分功能外还大大简化了技术复杂度支持分布式部署推荐采用此方案。
3. 信息分类
平台的信息主要分为基础信息和业务信息两大类。基础信息分为个人实体信息和组织实体信息主要描述实体的基本信息、通用信息与业务相关性不大例如姓名、性别、身份证号码、手机号码、企业通用信息、企业工商信息等。业务信息由各业务系统自行管理和维护UIMS 不涉及。
实体类别信息类别信息范围备注个人信息基础信息昵称、性别默认公开个人信息基础信息身份证信息、籍贯、性别、出生日期、学历、工作履历、电话号码、通信地址、照片、银行卡号须用户授权收集和公开个人信息业务信息LBS数据须用户授权收集和公开个人信息业务信息用户移动终端的设备信息包括IP地址、Mac地址、操作系统信息、设备型号、识别码等须用户授权收集和公开个人信息业务信息用户的行为信息包括操作记录cookies通过平台编辑或传送的文字、图片、语音或视频信息等须用户授权收集和公开个人信息业务信息用户喜好、特长、手工标签、自动标签、社交互动信息等须用户授权收集和公开组织信息基础信息组织工商信息名称、法人、营业范围、注册日期、注册资本、通信地址、工商注册号、公司类型、纳税人识别号默认公开自动审核组织信息基础信息组织介绍、品牌介绍、微信公众号、企业官网、对外联络电话、客服电话默认公开须人工审核组织信息基础信息企业资质、股权结构、对外投资、工商登记变更记录、企业年报、公司发展历程、行政许可须组织授权收集和公开组织信息基础信息核心团队和成员、融资历程、核心产品、公司规模、知识产权须组织授权收集和公开组织信息基础信息组织架构、组织成员档案、司法风险、法律诉讼须组织授权收集和公开
所有与信息收集、储存、处理及数据安全有关的书面政策应当出具《隐私政策》并进行声明。部分组织信息由于可在网上公开查到且是法定必须公布的信息因此可以默认公开。
四、其他功能
一软件授权
基于两级账户体系建立云平台付费授权机制针对用户账户和组织账户进行独立授权。根据产品的商业策略可执行灵活的付费模式
时效限制年付、季付、月付不同时效费用不同。功能限制授权不同的功能费用不同。数量限制最大组织数量限制、最大用户数量限制不同的数量费用不同。
二组织入驻
UIMS 应提供一个组织实体注册登记的流程允许组织主动提交基本信息开户入驻平台。此外应提供在管理后台手工录入组织开户的功能。
三实名认证
分为个人账户实名认证和组织账户实名认证尽量通过技术手段自动执行实名认证的审核过程减少甚至取消人工干预。UIMS 应提供实名认证的功能和流程。
四资质审核
资质审核分为两部分一是部分实体实名认证过程中的人工核查二是对实体提交的额外资质进行技术或人工审核。
五组织绑定
基于『从属关系隔离原则』个人账户应在具体的业务系统中绑定组织账户绑定过程分为两种类型一是由组织管理员手工创建的从属个人账户另一个是个人账户申请加入某个组织。业务系统应该提供此功能和流程。例如个人注册帐号后可主动登记绑定组织对已注册登记的组织则要该组织管理员审核未在系统中注册登记的组织则始终处于待审核状态。
六组织解绑
允许个人账户解除与组织之间的从属关系。解绑分为两种情况一是个人账户主动解除关系二是组织管理员解绑、解雇或清除雇员个人账户。其中第一种个人解绑的应当由组织进行审核批准个人申请解除绑定关系组织进行审核但是是否需要审核应交由具体的业务系统自行决定。
七间接雇佣从属关系
雇佣从属关系分为直接雇佣与间接雇佣关系。例如保安员在某保安公司入职直接雇佣在某物业作保安间接雇佣。考虑两种办法标识间接雇佣关系
增加服务单位项目点、物业社区的实体概念利用组织内部的组织机构体系将间接雇佣单位作为当前组织的分支机构进行处理。
八账户注销
分为个人账户的注销和组织账户的注销。UIMS 应提供相应的页面完成账户注销的操作。
九私有化部署
原则上拒绝私有化部署但对于特定的客户考虑私有化部署。私有化部署须考虑版本升级问题在软件架构设计时尽量遵循业务系统和技术系统分离的原则并抽离公共模块最大限度为私有部署的版本提供升级服务。
五、总结
总体来说统一身份管理系统要做的事情有这么几件
定义实体
业务系统实体服务账户实体客户端组织实体组织架构个人实体角色实体权限标识资源标识条件标识
处理上述各实体之间的关系并提供数据结构提供 IDP APIs 和业务 APIs提供其他功能统一注册功能页面和流程、统一登录功能、软件授权、组织入驻、组织绑定/解绑、资质审查。
