企业统一身份与权限中心

系统概述

企业统一身份与权限中心（IDaaS/IAM）提供员工唯一数字身份：统一目录、单点登录（SSO）、多因子认证（MFA）、应用授权与生命周期自动化。入职自动开户、调岗改权、离职一键销权；所有应用接入同一套登录与审计，降低影子账号与权限膨胀风险。

适用场景与价值

• 应用增多的企业：消除多套账号密码
• 安全合规：MFA、最小权限与审计
• 集团多组织：多目录/多身份源整合
• 伙伴与外包：外部身份联邦与临时访问

功能模块详解

1. 身份目录

• 组织人员：部门、岗位、员工类型
• 多源同步：HR、AD/LDAP、企微/钉钉双向或单向
• 身份类型：员工、外包、合作伙伴、设备账号
• 主数据字段：工号、邮箱、手机、成本中心
• 冲突合并：多源身份归并策略

2. 认证与 SSO

• 协议：OAuth2/OIDC、SAML、CAS
• 登录体验：统一登录页、扫码、记住设备
• MFA：OTP、短信、企微确认、通行密钥（可配）
• 自适应策略：异地/新设备加强验证
• 密码策略：复杂度、历史密码、到期
• 联邦：与客户/伙伴 IdP 互信

3. 授权与应用管理

• 应用目录：所有业务系统注册
• 授权模型：RBAC/ABA‍​‌‍‌‌‌​​‌‌‌‌​​​​​​‌‌​‌‌​‌​‌‌‌‌​​‌​‌‌​​​‌​‌​‌​‌​‌​​​‌‌‌​​‌‌‌‌​‌‌‌‌​‌‌​​‌​​​‌‌‌‌​​‌‌‌‌​‌‌‌​‌‌‌​​‌‌‌​​​‌‌‌‌‌​​​‌‌‌​​​​​‌‌‌​​‌​​‌‌​‌‌‌‌​‌‌​​‌​​​‌‌‌​‌​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌‌‌‌​​​​‌‌​‌​‌​​‌‌​‌‌‌​‌‌‌‌‌​​​​‌‌​​‌​​​‌‌​​​​​​‌‌​​‌​​​‌‌​‌‌​​​‌‌​​​​​​‌‌‌​​‌​​‌‌​​​​​​‌‌​‌​‌‍‌​‍C、用户组、岗位角色
来源：灵动网络　原文：https://www.tp80.cn/product/detail/id/57/cat/default
• 应用内角色映射：把统一角色映射到各系统角色
• 权限申请：自助申请+审批+到期回收
• 特权账号：与密码库/PAM 衔接

4. 生命周期自动化

• 入职开通：邮箱、OA、业务系统基线权限包
• 调岗变更：自动加减权限包
转载请注明出处：灵动网络｜https://www.tp80.cn/product/detail/id/57/cat/default
• 离职销权：即时禁用 SSO 与下游推送
• 孤儿账号治理：长期未登录扫描
• 证书与密钥：应用凭据轮换提醒

5. 审计与安全运营

• 登录日志：成功失败、风险评分
• 权限变更审计：谁批准了高危权限
• 异常检测：暴力破解、不可能旅行
• 报表：应用接入率、MFA 覆盖率

系统对接能力

• HRM：人事事件驱动
• 企微/钉钉/AD：目录与扫码
• 业务系统：标准协议接入
• 零信任/网关：设备与访问联动

实施与交付说明

优先接入高频系统做 SSO，再推动权限模型收敛。提供应用接入清单、权限包设计与离职销权演练。