近日，中国信通院“铸基计划”发布了《高质量数字化转型产品及服务全景图( 2024 )》。Authing 身份云成功入选 IT 维护与运营领域并获得证书。 随着新技术、新业态的层出不穷，产业发展的规律性减弱趋势明显，复杂性、随机性、突发性的问题增多，给企业带来了诸多不确定性挑战。同时，5G、人工智能、大数据、区块链等新一代信息通信技术不断涌现，也在相关领域展现了一定的优势。然而新型数字技术与传统行业简单叠加，已经不能满足传统垂直行业的需求，企业数字化转型正在进入“深水区”。目前传统企业已经认识到数字化转型的重要性，着手制定数字化转型的战略及计划，但仍存在着对数字化转型认知不全面、策略不明确、执行不到位、效果不明显等诸多问题。同时，市场上数字化转型产品细分领域众多，产品种类繁杂，需求方难以全面广泛了解其产品及服务能力，这在一定程度上阻碍了企业数字化转型的进展。2024 年“全景图”将焕新起航，继续围绕数字化转型中的产品及服务进行构建，充分展示产业各方优势，为我国传统行业的数字化转型提供有利支撑。Authing 作为国内唯一以开发者为中心的全场景身份云产品，再次凭借其技术领先、优质产品体验、以及场景化解决方案等诸多突出表现，在信通院 IT 运维和维护领域中实力上榜。 Authing 是国内唯一以开发者为中心的全场景身份云产品，为企业和开发者提供高安全、高性能、高生产力的用户认证和访问管理服务。Authing 持续以开发者为中心，支持 1000+ API 和几十种主流编程语言的 SDK。通过图模型的编排引擎替代决策树编排，在高安全、高可用、高性能的前提下，实现上下游平台身份 APIs 全生命周期高效管理与灵活连接。提供 OPA（组织过程管理） SaaS，完善 OPA 计算监控、事件监控、决策监控、决策设计器、代码编写等，覆盖决策计算全生命周期，实现事件驱动的低代码决策引擎和自动化风控引擎。助力企业大幅提升企业身份治理效能。Authing 目前已经服务包括可口可乐、招商银行、三星集团、复星集团、万科集团、海底捞在内的 100000+ 企业和开发者。

从内容聚合的互联网时代，到沟通、娱乐及交易的全面在线化，数字身份不断演变，成为用户与企业之间信任的基石。用户的身份信息不仅仅是一串数据，更是建立信任、实现互动的重要桥梁。无论是频繁经历并购的大型企业，适应不断变革的中型企业，还是快速成长的初创公司，大多数企业 IT 团队都需要处理大量的身份治理工作，但这些任务并不仅仅是简单地创建或删除用户账户。面对纷繁复杂的信息系统和多样化的业务需求，如何高效且安全地管理用户身份成为企业亟待解决的核心难题。 01.身份治理的复杂性 多元化权限需求与角色变迁 多元化的权限需求与角色变迁是信息安全管理中的一大挑战。组织内通常拥有大量用户，每位用户的访问权限需求可能因其工作性质而异。财务部门的员工可能需要访问财务系统，而市场部门的员工则需访问营销工具。随着员工职位或角色的变化，原有的权限设置往往需要随之调整，以确保信息安全与高效运营。对于动态权限管理要求企业具备灵活且高效的身份和访问管理系统，以实时更新权限，避免潜在的安全隐患和操作失误，保障业务的顺利进行。 多系统协同难 随着企业业务的不断扩展和复杂化，涉及资源共建共享和跨部门协同协作等，许多组织依赖于多种不同的系统和应用程序来支持日常运营。这些系统各自拥有独特的身份验证和授权机制，使得统一管理身份信息变得复杂，难以快速处理。不同系统之间可能存在信息孤岛，导致用户在不同平台上需要重复注册或管理多个账户，增加了用户的负担和安全风险。企业中经常出现信息和数据更新的不同步甚至不一致，导致企业工作效率的降低和运营成本的上升。在处理敏感数据时，缺乏统一的身份管理策略可能使企业面临合规性挑战。 异构环境下治理难 随着云计算、混合云和本地部署环境的广泛应用，企业面临着日益复杂的身份治理挑战。在异构环境中，不同平台和技术栈可能使用各自独立的身份管理系统，身份信息的分散且难以整合。不仅增加了身份治理的复杂性，而且跨环境的合规性和安全性难以保障。异构环境下的数据流动性和动态变化要求企业能够实时监控和调整身份治理策略。然而，传统的身份管理往往无法满足这种需求，导致企业面临信息滞后和响应不及时的困境。企业需要借助先进的身份和访问管理解决方案，以实现跨平台的身份同步、集中控制和审计跟踪，有效降低安全风险并提升运营效率。 02.身份自动化治理成为企业首选 要解决这类复杂性难题，自动化治理是企业绕不开的选择。身份自动化（Identity Automation）是指通过技术手段，自动化地管理企业内部和外部用户的身份信息及相关权限，从而提升效率，确保数据的准确性和安全性，降低人为操作带来的风险。Authing 自动化具有强大的数据处理（ETL）能力和灵活的流程控制能力。企业可以像搭积木一样，根据场景需求自定义配置具备对数据处理的工作流，为用户提供用户身份和员工身份管理领域可开箱即用旅程配置模版，基于模版快速实现员工入、转、调、离全生命周期业务的灵活配置。目前包含以下形式： Pipeline Authing Pipeline 是一组运行在云端的用户自定义 JavaScript 代码，允许开发者在认证流程中灵活地插入自定义逻辑。Authing Pipeline 函数均为用户可自定义，同时我们还提供了丰富的函数模版，帮助开发者快速上手开发。开发者可以对用户的身份验证过程进行深度定制，满足特定的业务需求。在用户成功认证后，开发者可以使用 Pipeline 来生成和添加自定义的 id_token，以便在后续的请求中传递特定的信息。同时 Pipeline 为一组函数，和普通 Hooks 的区别在于，Pipeline 整个流程中的函数数据可以相互传递，实现工业流水线一样的效果。这种设计模式，可以使得开发者的自定义函数更加模块化，便于管理。企业能够在复杂的业务场景中，实现更精细化的权限管理。Authing Pipeline 后端使用 serverless 架构，所有的用户自定义代码均运行在云端，保证不同租户之间的隔离性，能弹性伸缩，既保证了安全性，又提升了运行效率。 您可以根据不同的触发场景，选择相应的代码模板，一键生成定制化的 JavaScript 代码。Authing 的 Pipeline 功能允许您在用户身份验证和授权的各个环节中插入自定义代码，从而灵活地扩展系统的功能。在实际应用中，开发者只需选择适合的触发场景，如用户注册、登录或权限变更，根据业务需求进行代码定制。通过 Pipeline，企业可以轻松实现实时的数据处理和决策，确保用户体验的流畅性和安全性。这种自动化的代码生成方式，也大大减少了手动编码的错误风险，提高了整体系统的可靠性和可维护性。 应用场景借助 Authing Pipeline，开发者可以实现以下功能： 白名单机制：如注册邮箱后缀白名单、注册 IP 白名单等。 事件通知：如用户注册之后发送群通知、用户登录 IP 异常通知等。 权限控制：如用户登录之后根据邮箱将其加入某用户组等。 扩展用户字段：如给该请求用户添加自定义 Metadata 等。 自定义 token：如往 token 中加入自定义字段等。 ... 还有更多，想象空间是无穷的。 WebHook WebHook 是基于事件驱动的方式，它能有效减少不必要的轮询请求，从而优化系统性能，降低带宽消耗，帮助企业更好地管理用户活动和数据流动。WebHook 允许你实时监听用户在系统中的重要行为，如注册、登录、密码重置、邮箱验证和用户信息更新等。当这些特定事件被触发时，系统会自动向你预先配置的自定义回调地址发送事件通知，帮助开发者能够迅速响应用户行为，进行自定义处理，比如更新数据库、发送通知、记录审计日志或触发其他业务逻辑。通过 WebHook，企业可以实现更高效的自动化工作流，提升用户体验并加强系统间的集成能力。 Authing 提供了数百个可自定义的触发事件，企业可以通过填写表单，根据自身的具体需求选择相应的 Webhook 事件。企业能够精确响应用户行为，实现个性化的事件处理和自动化流程。灵活的配置选项使得企业可以根据不同的业务需求调整 Webhook 的触发条件和处理逻辑，确保每个事件都能得到适当的响应和处理。无论是在客户关系管理、数据同步还是安全监控等场景中，Authing 的 Webhook 功能都为企业提供了强大的支持，确保触发事件顺利进行。 身份自动化 Authing 身份自动化平台是基于事件驱动的下一代身份领域业务策略和数据策略的可视化工作流编排平台。旨在满足客户侧多元的针对用户目录、组织架构、登录认证、安全管理等功能灵活性的配置需求，能够进一步以面向变化设计系统架构、敏捷迭代的原则，支撑客户纷繁复杂的身份和组织架构自动化管理需求。 Authing 身份自动化平台可以帮助企业免除身份和账号管理过程中繁杂的定制化开发过程，基于下一代「低代码、无代码」的设计理念和可视化、拖拉拽的配置方式，快速构建和管理您的身份管理工作流程，大幅降低企业内部身份管理成本及身份安全风险。平台为用户提供用户身份和员工身份管理领域可开箱即用旅程配置模版，你可以基于模版在编排画布中快速实现员工入、转、调、离全生命周期业务的灵活配置。例如：在员工入职时可以帮助员工自动化在应用程序中快速为员工创建身份、分配访问权限及通知相关方。并且可以在员工离职时自动化进行账号的锁定、冻结或者删除。 03.最佳实践：某知名企业 需求挑战 企业正处于快速发展阶段，为了确保研发实验室的数据安全、网络安全、员工身份安全以及通信安全，企业迫切需要一套集成化平台。这套平台不仅要整合各种企业应用，还需集中管理员工数字身份、授权管理以及 IT 审计合规等关键功能。 企业依赖于传统手动运维。每次员工调动都需要在多个系统和部门中手动调整权限、账号等信息，甚至一次组织架构调整也需花费长时间协调。一次组织架构调整可能需要多个部门长时间协调配合，低效且耗时耗力。 现有的 SaaS 应用无法满足企业对数据安全的高标准要求，尤其是在研发实验室等关键领域，缺乏有效的控制措施，容易导致数据泄露或损失。 解决方案 通过将其他业务平台统一集成至 Welink 业务工作台，实现基于 Welink 身份的免登功能，简化员工的日常办公流程。并且将各个系统的关键（模块如请假、打卡、审批、招聘、采购申请等）嵌入 Welink工作台，可在一个平台上轻松访问员工所有业务功能。 管理员可以通过身份自动化功能，在员工入职时可以帮助员工自动化在应用程序中快速为员工创建身份、分配访问权限及通知相关方。并且可以在员工离职时自动化进行账号的锁定、冻结或者删除，代替企业内部 IT 系统在身份和账号权限管理过程中高成本易出错的人工操作过程，支撑客户纷繁复杂的身份和组织架构自动化管理需求。 企业通过搭建自定义身份自动化工作流，根据自身特定的业务场景和安全标准来构建专属工作流。企业可以选择启用或禁用特定功能模块，并在触发特定事件时，使用 Webhook 自动向指定地址发送通知，确保相关人员及时获取信息，减少人工操作，提高检索效率，降低数据泄露风险。

在数字化转型浪潮下，数据安全已上升为国家安全的核心议题。随着数据逐渐成为驱动商业发展的重要引擎，企业对数据资源的依赖与日俱增，数据安全问题随时可能威胁到企业的生存与发展。面对日益严峻的网络安全形势以及不断更新的法律法规，企业如何有效保障数据安全，已成为亟需解决的关键难题。私有化部署作为一种兼具安全性与高效性的解决方案，正逐渐成为企业保护数据资产的 “安全护盾” ，为企业在数字化时代的长远发展保驾护航。Authing 已经为国内外多家知名企业提供身份认证和用户目录管理方案，可以提供公有云、私有化和混合云的多种云环境部署方案。其中私有化部署方案可以部署在客户的内网服务器，数据加密存储，独享云资源，更安全稳定，速度更快。 01.私有化部署优势 数据私密安全 私有化部署通过构建独立的安全防护体系，不仅确保了数据的安全性，还满足了《网络安全法》《数据安全法》等法律法规的合规要求，有效保护企业的敏感信息不被外界侵入。私有化部署通常配备完善的容灾备份机制，确保在突发情况下数据能够及时恢复，不受外部网络影响。双重保险机制也为数据的安全性提供了保障，利用先进的加密算法与密钥保护相结合，确保数据传输和存储的绝对安全。企业独享云资源，数据处理的速度更快，性能表现也更为优越，极大提升了业务的稳定性与效率。企业自主掌控私有化部署给予企业完全的自主控制权，企业可以根据自身需求，灵活地对系统进行定制和管理。企业可以自行管理系统中的成员，轻松进行认证配置和身份源管理，实现对业务流程的完全掌控。同时，用户信息和密钥信息本地存储，企业不需要担心外部供应商对敏感数据的访问和控制权问题，进一步增强了数据的隐私和安全性。企业在进行敏感数据处理时更加从容自信，满足了对数据安全的高要求。 高可用性能架构面对日益增长的海量数据，保证实时查询性能的前提下，私有化部署方案对企业硬件配置标准和数量（CPU 、内存、硬盘、服务器数量）要求低，成本更低。并且私有化部署通常支持高可用的架构设计，确保系统能够持续、稳定地运行。通过横向扩展，企业可以根据业务的实际需求，灵活地调整系统的容量，避免出现资源浪费或性能不足的情况。尤其适用于业务增长迅速、需求波动较大的企业，使得企业能够更好地应对不同规模的业务场景变化，有效应对突发状况，保证业务的连续性和稳定性。 可定制企业还可以根据自身的品牌形象，进行高度个性化的定制。企业可以为其 IDaaS（身份即服务）系统配置独立的二级域名、企业 Logo、品牌色等元素，充分展现企业的品牌特色与个性。不仅可以提高企业的品牌辨识度，还能为员工和用户提供更统一、更专业的使用体验，增强企业的品牌形象与用户信任度，为企业带来竞争优势，帮助其在日益同质化的市场中脱颖而出。企业的身份管理系统不仅仅是一个工具，更是品牌实力的象征。 02.私有化部署服务内容 了解企业业务场景，定制专属解决方案 根据企业的业务规模、行业特性以及特定的安全和合规要求，我们的团队将制定一套量身定制的解决方案，确保私有化部署能够完全契合企业的实际运营需求。无论是身份管理、权限控制，还是数据安全加密，都将根据企业的业务复杂度进行优化配置，确保系统既能提升业务效率，又能够满足安全合规要求。 技术专家全程负责，提供完整的部署方案，完成高质量交付Authing 技术专家团队将全程负责私有化部署的实施，确保每一步都符合最高标准。从硬件设施准备到软件系统的安装与配置，我们将根据企业的技术架构和 IT 环境，提供全套的私有化部署服务，确保无缝集成。在部署过程中，我们将严密监控所有关键环节，保障系统的高可用性和安全性。同时，所有实施步骤都会根据企业的反馈及时调整，确保部署过程平稳流畅，最终高质量交付。 支持平台团队使用支持，售后服务及时响应系统部署完成后，我们的高效运营团队将为企业提供持续的技术支持和使用指导，确保企业能够顺利地运营和维护私有化系统。在系统运营过程中，无论是性能优化、故障排查，还是功能扩展，我们的运营团队都将提供快速响应，及时解决企业面临的任何问题。售后服务覆盖全流程，确保系统在使用中的每一个细节都得到妥善处理，帮助企业应对不断变化的业务需求和技术挑战。 03.支持平台 裸机或 VM 虚拟机在简单（非高可用）场景中可以使用裸机或 VM 虚拟机的形式部署。 所需环境：Windows 或 Linux 操作系统，Node.js 版本在 12 及以上。 推荐操作系统：CentOS 7.2 及以上 Ubuntu 18.04 及以上。 Docker Compose如果你的业务场景有一定规模使用人数在 20 人 - 2000 人，IDaaS 平台需要多个组件来支撑你的业务场景，可以使用 Docker Compose 来简化你的部署流程。 所需环境：Linux 操作系统，Docker 17.04 。 推荐操作系统：CentOS 7.2 及以上 Ubuntu 18.04 及以上。 Kubernetes如果你的业务场景承载的用户量比较高，规模在 2000 人及以上，在私有化部署的时候需要考虑性能和可靠性，我们建议你采用 Kubernetes 云原生的模式运维你的 IDaaS 平台。 所需环境：Kubernetes 1.16 及以上。 推荐操作系统：CentOS 7.2 及以上 Ubuntu 18.04 及以上。 资源规划 基于编排的容器化部署运维逐渐已成为目前的主流方式，无论是基于 Kubernetes 还是 Docker 的基础设施环境，都可以通过编排的方式快速的搭建业务组件，同时也可以高效的运维管理，这里我们推荐你使用基于容器的部署方案，Kubernetes 部署模式 或者 Docker 部署方案当然我们也提供了传统的基于物理机部署 Authing 的方案，物理机部署的优势在于可以充分利用物理机的资源并且能够精细化控制部署流程。整体架构 Authing IDaaS 平台架构中主要组件包括：对象存储服务、Redis、ElasticSearch、Postgres 及 Authing Server。Authing Server 作为 Authing IDaaS 平台的主服务，接收来自客户端的请求；对象存储作为存储静态资源的服务；Redis 存储 Session 信息、数据缓存等；Postgres 用来存储核心业务数据；ElasticSearch 用作数据统计分析、日志采集分析的工作。 04.Docker 部署模式 Docker-Compose 是基于 Docker 引擎的一套编排的工具，你可以使用 Docker-Compose 快速的一键部署 Authing IDaaS 平台。Docker 部署方案下的 Authing 是单机环境部署。本文描述了 Authing IDaaS 平台基于 Docker-Compose 的部署方案以及具体的操作指导。整体架构 Authing IDaaS 平台架构中主要组件包括：对象存储服务、Redis、ElasticSearch、Postgres 及 Authing Server。Authing Server 作为 Authing IDaaS 平台的主服务，接收来自客户端的请求；对象存储作为存储静态资源的服务；Redis 存储 Session 信息、数据缓存等；Postgres 用来存储核心业务数据；ElasticSearch 用作数据统计分析、日志采集分析的工作。在日志系统方面， Authing IDaaS 平台使用了 ELK 架构，Authing Server 将日志写入 Log File 当中，Logstash 通过读取 Log File 将日志信息写入 ElasticSearch 服务中，这样保证了多个 IDaaS 集群遵循一套统一的收集 -> 传输 -> 存储 -> 分析流程，再由 Kibana 作为图形化 UI 管理界面进行运维管理，极大程度降低了运维工作的复杂度和出错率，提高了运维人员的工作效率。 更多资源扫描下方二维码，联系 Authing 售前人员获取。 05.Kubernetes 部署模式 Authing 不会改变用户已有的云基础设施，Authing 只会最大程度去兼容用户的云环境。因此，Authing 提出了「云中立」和「Authing Inside」的概念。在多云环境下 Authing 可以保持其中立的特性，可以部署不论是 AWS、腾讯云、阿里云还是私有云环境。在混合云或者私有云环境下，Authing 都会像 Intel 一样被集成在客户的 IT 系统中。本文将介绍 Authing IDaaS 平台基于 Kubernetes 的部署方案以及具体的操作指导。整体架构 Authing IDaaS 平台的高可用架构是运行在 VPC（虚拟私有云）中，通过 LB（负载均衡），将添加的同一地域的多可用区虚拟成一个高性能和高可用的服务池，并根据负载均衡规则，将来自客户端的请求分发给服务池中的可用区。 每个可用区由一组 Kubernetes Node 组成，每个可用区都搭载一套完整的 Authing IDaaS 平台，IDaaS 集群为无状态服务，数据库集群为有状态的主从同步架构，若某个可用区出现服务故障或服务不可用，则 LB 会将流量转移至另一个可用的可用区，该可用区将会承担起 Master 的作用。负载均衡会实时检测每个可用区的健康状态，自动隔离异常状态的可用区，从而提高了应用的整体服务能力。

在当今的数字化社会，密码作为个人和商业信息安全的关键，其重要性不容忽视。随着互联网和数字技术的广泛应用，密码已成为大众信息系统和平台的核心防护机制。尽管密码的重要性人尽皆知，但许多个人和企业在密码管理方面依然存在严重漏洞，使用简单易猜的“弱口令”成为了信息安全的重大漏洞，甚至会引发重点涉密部门的信息泄露风险。近期，国家安全机构曝光的一系列密码安全事故，向我们发出了严肃的警示。企业需要采取更有效的密码管理措施，筑牢信息安全的第一道防线。 01.企业遇到的挑战 内部数据泄露由于网络管理员未及时删除测试账号，且账号具备管理员权限，密码易猜解，导致客户数据泄露。并且密码强度不足就会是另一个明显的问题。管理员账号通常具有极高的操作权限，如果密码设置过于简单，极大地降低系统的整体安全性，使其更容易受到外部攻击者的攻击和利用。客户数据的泄露不仅会给公司造成严重损失，还可能带来巨大的经济损失和法律风险。在数据隐私和安全性备受关注的背景下，此类事件可能会引发监管机构的调查和处罚此外，客户对数据隐私的高度重视也使得此类事件极易引发客户信任危机，导致客户流失和市场稳定性的下降。 邮箱数据被窃取邮件系统是企业通信的核心之一，通常包含大量敏感信息，如内部机密、商业合同、财务报告和客户沟通记录。这些数据一旦被外部黑客获取，可能面临严重的后果，包括企业信息外泄、商业秘密被盗、客户数据丢失，甚至可能引发法律诉讼。某单位公用邮箱使用固话号码作为密码，长期未修改，结果被境外黑客破解，邮件数据被盗 。使用电话号码作为密码本身就极为不安全。固定电话号码是公开信息，很容易通过简单查询或社交工程手段获取。黑客利用这一点，通过暴力或破解其他技术手段，很容易入侵该邮箱系统。随着时间的增加，弱密码的风险成倍增加，黑客入侵的原因也随之而来。 监控系统遭攻击默认密码是系统在初始设置时使用的简单密码，通常为公开信息，很容易被黑客通过互联网搜索或猜测到。黑客能够轻松绕过系统防护措施，获取对监控系统的完全控制权。一旦监控系统被攻破，黑客就可以实时监视摄像头的画面，跟踪公司的内部动向，甚至可能获取到敏感的数据信息。报道中提及的跨境物流公司，监控系统收到攻击，可能引发严重的商业后果，例如盗窃、走私等犯罪活动。严重的是，如果黑客将这些数据泄露或提供给境外势力监控，可能导致敏感的国家安全信息外泄，威胁国家的经济与边境安全。 02.国家安全机关提示 数字化时代，有关单位和个人应提高信息安全意识，履行网络安全义务，增强网络防护，避免使用弱口令，防止数据被窃取、泄露，影响国家安全。 使用复杂密码。设置密码长度至少为8位，宜同时包含大小写字母、数字、特殊字符，提高密码的复杂度，不使用设备或账户初始密码及常见的弱口令密码。 定期更改密码。设置复杂密码后，并非一劳永逸，随着时间的推移，密码仍存在被破译的可能性。重要网络信息系统应定期（至少3个月内）进行密码更改，同时要避免数套密码轮换修改。 避免密码串用。在不同平台及系统避免使用相同的密码，防止一个密码泄露后其他系统被“撞库”攻击连带攻破，导致泄密面进一步扩大。 定期检查账户状态。计算机系统及网络账户通常具备安全审计功能，可查询历史异常记录，定期检查日志，及时发现账户异常行为，防止因密码泄露导致内部数据、信息被持续窃取。 加强技术防范措施。反间谍安全防范重点单位应当按照反间谍技术防范的要求和标准，采取相应的技术措施和其他必要措施，加强对要害部门部位、网络设施、信息系统的反间谍技术防范。 03.基于 Authing 打造密码基础支撑设施底座灵活配置密码规则 禁止弱密码 为了进一步提高密码安全性，可以禁止用户使用常见的、容易被猜测的密码组合，如 “123456”、“password”、“admin” 等。这些密码往往是攻击者首先尝试的目标，极易被破解。因此，系统在用户设置或更改密码时，应进行实时检测，禁止使用已知的弱密码和常见的组合，提醒用户选择更为复杂和安全的密码。   密码强度设置 根据企业的实际需求，密码位数可以灵活设置在 1-35 位之间，自由调整密码的长度要求。并且 Authing 支持多种密码复杂度要求类型，包括数字、大写字母、小写字母、符号等。企业可以根据自己的安全标准和政策要求，灵活选择密码复杂度类型，并根据实际情况进行组合设置，满足企业不同层次的安全需求，保障账户和系统的安全性，有效防范各类安全威胁和攻击。 可校验密码强度校验密码强度是确保用户设置的密码足够安全的重要手段。密码强度校验机制可以通过评估密码的长度、复杂度、字符多样性等因素，实时给出密码强度的评分或提示。例如，当用户输入密码时，系统可以即时显示密码强度指示器，提示密码的安全等级，如“弱”、“中”等。通过这种实时反馈机制，用户可以直观了解其密码的安全性，并及时做出调整，从而提高整体密码的防护能力。 密码全生命周期管理Authing 基于“国产商用密码”技术，构建全生命周期安全防护和管控机制，为各行各业实现数智化发展保驾护航，符合信创、等保、密评等要求。密码全生命周期管理涉及从密码创建、使用、到废弃的整个过程，确保密码在整个生命周期内始终保持高水平的安全性。 强制修改密码周期 为了提高账户安全性，系统应实施强制修改密码周期的策略。这意味着用户必须在一定的时间间隔内更改他们的密码，例如每 90 天或 180 天。强制修改密码周期可以有效减少因长期使用相同密码而带来的安全风险，防止潜在的密码泄露或被破解的可能。实施这一策略时，Authing 能确保用户在周期结束前能够顺利完成密码修改过程，避免因忘记修改而导致的账户锁定或其他使用不便。 密码不可重复周期为防止用户频繁重复使用相同的密码，企业可以添加设置密码不可重复周期，确保在一定时间内或在一定次数的密码更换内，用户不能使用以前使用过的密码。例如，可以规定用户在过去的 5 次密码修改中，不能重复使用任何一个之前使用过的密码，能够防止用户因懒惰或记忆力问题而重复使用旧密码，提升企业内应用系统安全性。 密码到期提示 Authing 为企业提供密码到期提示功能，在用户密码即将过期时提前通知用户。我们一般会在密码到期前的 7 天、3 天和 1 天进行提示，以确保用户有充足的时间进行密码更新。密码到期提示可以通过多种方式通知用户，以确保用户能够及时收到提醒并采取行动。常见的通知方式包括：1、电子邮件通知：发送到用户注册的电子邮件地址，包含密码即将到期的信息和修改链接。2、短信通知：通过短信发送密码到期提醒，特别适用于移动设备用户。3、系统登录提示：用户登录系统时，在仪表板或主页上显示密码即将到期的提示信息。 个性化到期提醒方式我们深知每个企业的需求各不相同，有些客户可能需要更灵活、更个性化的通知方式。因此，我们提供了 webhook 和事件支持，使企业可以根据自己的需求定制通知流程。通过 webhook，Authing 可以将密码到期提醒推送到客户的自有系统中。客户只需配置一个接收 URL，当用户的密码即将到期时，Authing 会自动发送请求到该 URL，触发客户自定义的业务逻辑，与客户现有的工作流程无缝对接，例如将提醒消息推送到企业的 OA 系统、办公软件，或触发其他内部流程。此外，Authing 还提供事件支持，允许客户订阅与密码相关的事件。这些事件可以通过我们的 API 进行订阅，当触发这些事件时，系统会自动向客户的应用发送相应的通知。客户可以基于这些事件开发更复杂的通知和处理逻辑，例如通过集成到内部系统进行二次提醒，或者结合其他安全策略进行操作。 覆盖各类应用场景密码谱系在当今数字化和信息化的世界中，不同的应用场景对密码技术有着不同的需求。为了确保各类系统和数据的安全性，需要针对性地设计和应用密码策略。 密码分级分类策略Authing 建立密码“分级分类”机制，实现密码细粒度、多层级、全过程的安全保护策略。企业可以根据不同部门和岗位的具体需求，自定义相应的密码策略，确保在满足安全需求的同时兼顾使用便捷性。密码策略依据不同的安全需求进行分类和分级。1、对于处理敏感数据和关键业务的部门，如财务、IT、研发和高层管理，要求采用高安全级别的密码策略，包括至少 12 位的密码长度、复杂度要求（必须包含大写字母、小写字母、数字和特殊字符）、每 90 天强制更换密码以及严格的账户锁定策略。2、中层管理和涉及部分敏感信息的部门，如市场、销售和客户服务。虽然不直接处理最机密的核心数据，但他们的工作涉及大量的敏感信息和业务数据，可以选择采用中高安全需求的密码策略，例如密码必须至少包含 10 位字符、每 120 天强制更换一次密码等。3、对于普通员工和不涉及敏感信息的部门，如行政、人力资源和一般运营，采用一般安全需求的密码策略，确保基本的安全性和易用性。 密码执行策略优先级判断在创建的所有密码策略中，可根据企业需求调整密码策略优先级。密码策略都会按序执行并根据设定应用于相应的部门或用户群体。如果某个密码策略在特定部门或用户群体中无效，则会继续尝试执行下一个密码策略，确保对不同部门和用户群体的特定密码需求能够得到满足。当所有特定密码策略都无法应用或无效时，将会执行最后的默认策略。 04.密码策略典型案例：某大型集团 痛点需求 系统内设置较短的密码容易被猜测或暴力破解，而过长的密码可能会使用户难以记忆。密码长度需要设置一定的范围，可以在提高密码安全性的同时，尽量减小用户记忆的负担。 为了防止用户循环使用旧密码，减少密码泄露风险。集团需要历史密码限制确保用户每次更改密码时都会选择一个新的密码，提升整体安全性。 一些字符在某些系统中可能会被误解为特殊指令或引发系统错误。密码需要强制用户限制非法字符可以避免潜在的安全风险和技术问题，确保系统的稳定性和安全性。 集团内自研上线需要一个月，周期长运维成本高，且项目时间紧迫。 解决方案 在设置密码时，可以强制用户确保密码长度在 8 至 16 位之间，保持适中的密码长度范围，既能防止密码过于简单，又能确保用户记忆的可行性。 企业设置密码不可重复周期，要求用户不能使用重复使用旧密码，确保每次密码更换都是新的组合，极大地提升了账户的安全性。 添加特殊符号策略，要求用户不能包含非法字符以及空格，避免系统误解或错误处理特殊字符，确保系统的兼容性和稳定性。 新增密码强度设置要求，密码至少包含 3 种字符，并提供适当的密码提示，用户可以轻松创建符合要求的安全密码，从而在保障账户安全的同时，提升用户的密码管理体验。 Authing 提供了一系列密码解决方案，快速、高效、安全地实现密码策略的需求。相比于传统的自研方案，Authing 可以在一周内快速完成部署，大大缩短了上线周期。企业可以更快速地响应市场变化和业务需求，避免因开发周期过长而错失商机。

由于信息安全越来越被重视，企业的身份管理已经成为市场焦点，对于实施企业级安全策略和身份管理的需求随之迅速上升。在当今复杂多变的商业环境中，企业组织机构管理已成为推动业务顺畅运作的核心要素之一。企业内数字化管理是涉及企业全业务、跨职能的系统性长期工程，没有“银弹”，更不可能一蹴而就。随着企业规模的扩大和业务的多样化，如何有效管理内部的组织架构，确保各部门之间的协同与高效沟通，成为了企业管理者面临的重要挑战。 01.企业管理面临挑战 企业内结构复杂化 随着组织规模的扩大，各部门的角色和责任 也可能逐渐模糊，导致决策权责不清。不明确的职责划分往往会在实际操作中造成决策效率的下降，员工不知道该向谁汇报，谁该对某项任务负责。同时，多部门、多层级的存在，意味着管理者需要面对更多的协调和决策工作。各部门的角色和责任划分也可能变得模糊，影响决策效率，导致沟通不畅。管理不当可能会引发工作流程的混乱，降低整体生产力。信息在传递过程中逐层递减或失真，决策变得缓慢，执行的精准度也随之下降。信息流动的低效性使得管理者无法及时获取一线的反馈和真实的数据，影响整体的业务应对能力。 内部烟囱式数字化建设大型企业经常会出现部门信息无法有效共享的现象，导致“信息孤岛”的形成。各子公司由于业务架构、技术能力、区域法规等多种客观因素的差异，以及不同子公司中员工、经销商、供应商、上下游合作伙伴等角色各不相同，各子公司基于自身业务架构和管理需求独立建设数字化体系，同时各自独立维护各类数字化应用系统以及管理复杂的身份体系。导致在集团内部形成一个个独立的数字化孤岛，重复损耗建造、维护、迭代成本，集团难以打通各子公司数据，无法统一管理各子公司员工身份和应用系统数据。 员工变动频繁员工的频繁变动，如入职、离职以及岗位调整，给企业的组织管理带来了极大的挑战。随着企业规模的不断扩大，员工流动的频率也随之增加，每当员工的职位、角色或部门发生变化时，企业的管理者必须及时在多个系统中进行手动更新。这不仅涉及到员工的基本信息，还包括与其职务相关的权限管理、部门划分以及其他与工作内容相关的系统设置。管理员需要在不同的系统中重复输入和修改员工信息，而这些系统可能没有统一的接口或自动同步功能，导致操作的繁琐性和低效性。 02.如何通过 Authing 实现高效组织管理？ 借助 Authing, 可以快速实现基于角色的访问控制（RBAC）。简单来说，RBAC 指的是通过用户的角色授权其相关权限，这相比直接授予用户权限，要更加灵活、高效、可扩展。而在现实生活中，组、角色往往是分层嵌套的，呈树状结构，最常见的就是组织机构，如公司、学校等等。一个常见的的组织机构架构如下： 一级部门有产品部、研发部、运营部、综合管理部。 一级部门下面又有二级部门，如产品部中包含产品经理和设计等。 上图是一个典型的树状结构，其中有且仅有一个根节点，一般而言，根节点就是一家公司、一个组织。每个节点对应一个分层的部门。在 Authing 中, 你可以从企业微信、钉钉、LDAP、Active Directory 等第三方用户目录导入组织机构, 我们还提供了 控制台、SDK 两种管理组织机构的方式，你可以很方便地管理成员生命周期，还可以使用 LDAP 协议对外开放组织机构数据。创建或导入组织机构如果你还没有创建自己的组织机构，我们推荐你使用 Authing 作为主的身份源，存储用户和组织机构数据；如果你在其他地方存储了自己的组织机构数据，我们也支持将第三方的组织机构数据导入或同步到 Authing。 创建组织机构你可以选择使用控制台或者 API & SDK 创建。你可以在控制台的 用户管理->组织机构 中手动创建组织机构： 添加子部门输入部门名称、部门标识符（旧版本）/ 部门 Code（新版本）（必须是唯一的合法的英文标志符）、部门描述信息即可。 导入组织机构Authing 组织机构支持从以下途径导入组织机构与用户：1、Excel2、同步中心同步（新版）企业微信、钉钉、飞书、LDAP Server、Windows 本地的 Active Directory ...你也可以使用 API & SDK，编写用户导入脚本。管理组织机构组织机构的管理包含添加子部门、修改部门、删除子部门、移动子部门、获取子部门列表、添加成员、删除成员、获取成员列表等操作，Authing 支持控制台和 API & SDK 两种操作方式。 对于 B2E 场景，在控制台左侧导航栏可以看到 组织机构->组织管理 菜单，在此可以管理组织架构及相应层级组织下的成员。对于 B2B 和 B2C 场景，可以在 用户管理->组织机构 中进行管理。 当前新旧版本组织机构功能并行，你可以根据需要选用。要切换新旧版本，可以在 组织机构->组织管理 页面点击页面右上角 切换旧版 / 切换新版 按钮。添加子部门使用控制台，你可以点击其中一个部门，选择添加子部门: 输入部门名称和部门 Code（可选）即可，也可在窗口右侧为当前子部门变更 上级部门： 修改部门在组织树中点击待编辑部门后的编辑部门按钮。 更新字段。 除了可以修改部门名称、部门 Code、部门描述，还可以更改上级部门。点击保存。删除子部门 需要注意的是，如果待删除部门下有子部门或者该部门 / 子部门下存在成员，不可直接删除部门，需要先清空所有成员，删除所有子部门。 从部门中移除成员时需要注意，仅可移除直属多个部门同时直属当前部门的成员。如果成员仅属于当前部门，不可移除；此时，只能通过办理离职将该成员从当前部门移除。 组织根节点不可删除。选中需要删除的部门，点击 删除部门 按钮即可。 移动子部门在组织树中点击待移动部门后的 移动部门 按钮。 在弹出窗口选择移至的新上级部门： 获取子部门列表你可以点击节点前的收起按钮展开当前节点，显示该节点下所有子节点。 添加成员该功能旨在在当前组织 / 部门下增加新的成员。只能增加 成员管理（对于 B2B 和 B2C 场景是 用户列表）中现有成员。要增加新成员，执行以下步骤：1、在左侧组织机构列表中选定组织 / 部门。2、点击用户列表上方 添加成员 按钮。 3、在弹出窗口左侧 用户列表 中勾选目标用户（也可通过关键字搜索）。所选用户自动添加到右侧列表中。4、点击 确定 按钮。 删除成员1、仅可移除直属多个部门且直属当前部门的成员。如待移除成员仅属于一个部门，不可移除。2、可通过先勾选用户，再点击 移除成员 进行批量移除。 若要将某成员从当前组织 / 部门中移除，执行以下步骤：1、在左侧组织机构列表中选定组织 / 部门。2、在右侧当前组织 / 部门的用户列表中点击相应成员所在行 移除成员。 获取成员列表点击组织树任意层级组织 / 部门，即可在右侧列表显示当前部门下直属或所有成员（取决于是否勾选用户列表上方 仅展示部门的直属成员）。 管理成员生命周期随着公司的发展，企业内部应用和人员数量会不断增加。不断的员工入职、离职，人员组织架构频繁调整，企业内部的应用账号体系错综复杂，管理员手动操作账号的工作量陡增。同时，缺乏统一的账号管理控制方案也会给企业安全生产带来隐患，经常出现员工离职但是应用账号未关停的安全风险案例。用自动化的账号生命周期管理（Lifecycle Management，简称 LCM） 代替手动账号管理，是将企业 IT 人员从灵活用工所涉及的繁琐复杂的身份信息管理工作中解放出来的关键，同时也可以通过及时关停人员账号和减少授权错误率来提升企业整体的业务安全系数。自动化 LCM 涵盖了员工生命周期所涉及的多个节点，从员工入职、员工在职，到员工离职，既包含了管理员的操作行为，也包含了终端用户的触发行为，具体如下： 账号生命周期管理，有以下几个优势：1、提高生产力并降低成本。2、降低复杂度。3、更为安全合规。组织管理 成员入职你可以在控制台组织机构管理页面进行成员入职操作： 你可以使用手机号或者邮箱创建账号，在成员入职窗口输入 姓名、手机号 / 邮箱，选择部门： 新加入的成员会显示在用户列表中： 点击列表中新加入成员，进入用户详情页，可对其进行角色授权和应用授权： 禁用 / 启用员工账号在出现账号被盗等紧急情况，需要临时禁用员工账号。禁用账号之后，将会自动执行以下操作：1、取消应用授权关系。2、取消策略授权关系。3、该账号无法登录。4、依旧保留部门关系。5、仍可以编辑用户信息。可以在两个路径下禁用 / 启用员工账号。 在组织管理下禁用 / 启用账号在组织管理页面点击该员工所在行 禁用账号 按钮，并在弹窗中进行确认。 你也可以在同路径下重新启用该账号： 在成员管理下禁用 / 启用账号可以在成员管理页面（对于 B2B 和 B2C 场景是 用户列表页面）点击该员工所在行禁用账号 按钮。 在确认安全后，可以在同一个路径下 启用账号。则账号权限恢复正常。 变更部门成员在职阶段，如需更换部门，可以在组织管理 页面点击 变更部门按钮，在打开窗口中勾选目标部门，也可以在搜索框进行搜索后勾选，变更部门会显示在窗口右侧列表中： 设置主部门如果当前成员属于多个部门，可以设定一个为主部门。为此，只需在上面变更部门窗口右侧部门列表中点击设为主部门，然后点击确定： 也可在 组织管理 页面用户列表中点击目标成员所在行 设置主部门 按钮： 然后在打开窗口选择并确定主部门： 设为负责人你可以为不同层级的组织 / 部门设定负责人。可以跨部门设置负责人。但只有在所选人为被选部门直属成员时才会打上负责人标签。有两种方式设置部门负责人：在组织树中点击待设定部门后更多按钮，选择 设置部门负责人。 在组织对应的用户列表中设定负责人：1、在左侧组织机构列表中选定组织 / 部门。2、在右侧当前组织 / 部门的用户列表中点击相应成员所在行 设为负责人。 则所选成员成为该组织 / 部门的负责人。 办理离职可以在 组织管理 页面为员工办理离职。 员工离职之后，将会自动执行以下操作：1、取消应用授权关系。2、取消策略授权关系。3、该账号无法登录。4、移出原有部门，移动至已离职部门。删除账号可以在 办理离职 时同步删除员工账号： 离职和删除账号也可以分步进行：1、先在 组织管理 页面 办理离职。2、然后在 成员管理 中 删除账号。会彻底删除所有用户相关数据。 管理终端设备 设备管理 设备管理功能旨在管理登录用户池应用的所有网页端、移动端、 PC 端设备；通过登录用户池应用，终端设备主动上报该设备信息到用户池，通过对该设备的移除、挂起、停用等操作，来实现对设备的终极管理能力。 管理员侧设备管理 点击「组织机构」-「设备管理」模块，进入设备列表，在这里可以看到所有的设备的基础及使用信息，并且可以对设备进行移除/挂起/停用。启用的操作； 在设备管理列表，点击某一条设备信息，进入到该设备的信息详情页面，可以看到所有使用该设备的账号信息、设备的安全信息及活跃信息； 点击「组织机构」-「成员管理」-「成员详情」页面，用户可以看到使用该账户登录的所有设备信息，并且可以进行移除、挂起、停用操作； 用户侧设备管理Web 端应用个人中心：在 Web 端应用的个人中心，可以看到该用户下，所有登录了该应用的设备； Authing 令牌移动端 App: 打开 Authing 令牌 APP， 输入用户池相应的移动端应用，并进行登录，登录后，可以在个人中心看到「设备管理」模块，点击进入后，可以对该账号在该应用下登录的设备进行管理操作： 通过「管理数据对象」对设备进行管理首先，在一个开启「管理数据对象」功能的用户池里，打开「设置」-「管理数据对象」页面，点击「终端设备管理」模块，进入终端设备管理模块： 「终端设备管理」功能的基本信息里，展示定义好的功能名称、功能标识符、功能描述及父级菜单，且无法修改： 字段管理 : 展示所有的和设备管理功能相关的字段，可以选择是否展示、是否可编辑： 操作管理：展示的是针对设备管理的常规表单操作能力，包含 「创建」、「编辑」、「删除」、「导入」、「导出」的能力； 详情页配置：展示了某个设备详情页面的配置，可以对详情页的 Tab 及相应的字段进行配置；

8 月 30 日召开的国务院常务会议审议通过了《网络数据安全管理条例（草案）》。会议指出，要对网络数据实行分类分级保护，明确各类主体责任，落实网络数据安全保障措施。要厘清安全边界，保障数据依法有序自由流动，为促进数字经济高质量发展、推动科技创新和产业创新营造良好环境。随着我国数字经济的发展，数据已经日益成为推动经济发展的重要生产要素，成为企业的核心资产。可以看到，数据分类分级工作已成为数据要素应用和数据安全相关工作落地实施的重要前提。对于企业而言，身份信息作为数据资产中最为重要的一部分，其管理和保护显得尤为重要。 01.企业为什么要身份分类分级？ 大量身份数据难以管理企业内有多少个应用，每个应用对应了多少个数据库，每个数据库对应了多少张数据表，每个数据表的数据量（字段数目、数据行数、数据存储空间大小）等等。随着采购软件的增多，系统的管理变得更加复杂，导致了不断攀升的运维成本。依赖手动运维会带来大量重复低效的工作，背后隐藏着昂贵的人力和时间成本。长期来看，这并不是一个可持续、可操作的方式。因此，企业迫切需要在一个地方集中存储和维护员工账号密码、设备权限等数据，并将这些数据同步至下游应用，通过「一处管理、处处同步」减少重复工作。 不同数据对于安全要求不同企业需要基于分类分级的结果，针对不同安全等级的敏感数据，施加不同程度的安全管控策略。针对不同安全等级的敏感数据实施相应的安全管控策略。精准的分类和分级能够确保对高敏感数据采取最严格的保护措施，从而防止数据泄露或滥用，而对低敏感数据则实施适当的保护以保持其基本安全。错误的分类或分级可能导致安全漏洞，未能有效保护高敏感数据，同时可能会对低敏感数据采取过度的保护措施，浪费资源。但企业实施过程中往往复杂且耗时，尤其是在已有的系统和流程中进行调整时，可能会对业务操作造成干扰，并需要额外的时间和费用投入。 高数据安全要求在数字化时代，数据安全已经成为企业不可忽视的头等大事。尽管许多企业已经建立了数据安全措施，但仍然存在安全防护的缺失。过去传统的安全治理办法是添加更多的身份认证流程，例如在帐号密码单因素认证下添加第二种认证因素，短信/邮箱等验证流程，然而这种办法并不能有效解决此类问题，不法分子会通过钓鱼网站/邮件/短信等手段获取相应的 OTP 指令或者建设伪基站来劫取验证信息。因此，企业需要基于身份加强全链路的风控防护，提前配置风控策略，帮助企业识别可能存在的风险，及时向相关人员发送告警信息。 02.企业如何实现身份分类分级？ 打造更适配、更细粒度的身份管理Authing 提供「管理员权限」，让权限管理回归到业务本身。根据员工职责来赋予员工不同的角色权限。系统将各类权限聚合起来组成「角色」，给后台管理员（员工）赋予不同的角色，就可以控制其在系统中可接触的空间范围，确保他们「权责分明」、「不越界」。新增的管理员权限以用户身份进行画像，基于用户属性个性化设置管理员，对具体的数据资源范围进行更细粒度的分权管理。将权限管理工作分级授权下放到业务负责人和团队，实现业务自治管理，明晰责任归属，让权限管理充分促进业务健康安全发展，保证企业管理人员能够清晰明了的掌握员工的权限开通情况，让企业每个部门、每个成员的权限访问都有理可依、有序可循。 集中分析跨平台行为数据，实现更安全的 MFA 策略对于面临更复杂的安全环境和有特殊安全监管需求的企业来说，仅用一次性的身份认证来控制对敏感系统的访问已经不再足够，用户的安全状况可能在系统会话期间动态变化。不仅需要对登录行为进行风险判断和阻断，更需要结合用户在各系统内的使用情况进行分析，持续评估，才能有效减低风险发生。通过 Authing 自定义数据对象，将用户在各个系统内的操作行为集中上报，进行分析，并发布风险事件，再结合身份自动化编排二次验证策略，即可实现基于全量行为数据的持续评估，预防风险。企业可以根据自己的安全标准和政策要求，灵活选择 MFA 策略复杂度类型，并根据实际情况进行组合设置，满足企业不同层次的安全需求，保障账户和系统的安全性，有效防范各类安全威胁和攻击。 轻松搭建后台管理服务，满足个性化业务需求当你的企业因为业务需求，想在身份管理后台新增一块「会员管理功能」、「工号管理功能」或数据统计看板，在传统的开发流程下，将涉及大量研发资源的投入。相反地，使用 Authing 自定义数据对象，低代码即可创建多场景下的管理功能、统计看板和对应的菜单，不到一天时间即可发布，快速配合业务迭代。无论是调整功能细节还是新增业务场景，都可以通过低代码方式高效完成，从而提升企业的运营效率和响应速度。

自动化迅速发展的时代，数据和系统的同步已成为确保业务流程和技术运作顺畅的关键因素。随着企业日益依赖复杂的 IT 基础设施和多样化的应用程序，数据同步问题变得更加显著和复杂。但企业内部的各个分支机构通常拥有独立的身份管理系统，可能导致信息孤岛、安全漏洞、流程不统一等一系列挑战。如何有效打通企业内各种应用系统，实现身份自动化同步，成为许多公司面临的紧迫问题。企业需要建立一个集中化的同步中心，自动化管理各个系统之间的身份流程。 01.企业面临的困境 多应用系统难以打通 随着公司业务的扩展和员工人数的增加，企业在人员管理上遇到了新的挑战。员工的入职、离职以及岗位变动频繁，管理者必须不断手动开启或关闭账户，并分配或收回权限。传统的企业 OA 系统、HR 系统和 AD 系统虽然可以处理账户管理，但由于这些系统中的身份信息是相互独立的，形成了“身份孤岛”，信息同步变得困难，系统间的数据集成和权限管理复杂，且建设难度大，权限也难以集中管理。因此，企业迫切需要打通多种身份来源，构建统一的身份标识，以实现对员工全生命周期的有效管理。 账号手动管理复杂 管理员必须在多个系统中分别维护员工的身份信息和组织架构数据。每当员工发生入职、离职或岗位调整等变动时，管理员必须在每个相关系统中手动更新这些信息。这种重复而繁琐的操作不仅耗费大量时间和精力，还容易引发数据不一致的问题。例如，同一员工在不同系统中的信息可能因为手动更新的疏忽而不一致，导致数据错漏和权限设置不匹配，引发权限管理失误，从而带来潜在的安全风险和合规问题。传统的手动账号管理方式严重制约了企业的管理效率，并可能导致系统间的协作与运营效率大幅下降。 企业需要建立一个集中化的同步中心，来整合和自动化各个系统之间的身份管理流程。通过这一中心，企业能够实时更新和同步用户信息，确保在所有系统中的身份数据一致且最新，减少手动操作中的错误和延迟。 02.什么是同步中心? 为了解决员工目录散落在多个系统中，难以统一、高效地维护、管理的问题，Authing 推出同步中心。同步中心连接上下游数据源，实现组织信息和成员信息的同步。同步中心可以使企业管理者免于在各个系统中手动维护应用账号， 真正实现一处管理、处处同步，既提高了员工生命周期流转效率，又帮助企业降低了运维成本。 同步中心使用场景举例诠释同步中心如何解决业务场景中数据同步的需求。例如，某公司采购了一套 HR 系统，用于员工的生命周期管理，又使用飞书、企业微信、钉钉作为企业级 IM 工具，同时采购了阿里云、Jira、Zoom、GitHub Enterprise、泛微等业务应用（以下简称「下游应用」）。HR 同学需要在员工入职时，手动在各个 IM 工具、业务应用中为新员工创建账号；员工离职时，再手动删除相关账号。这是一个非常繁琐且易出错的过程。借助同步中心，你可以通过自动化的方式完成以下操作： 在 HR 系统中入职一名员工，自动在所有下游应用创建相应的账号。 在 HR 系统中离职一名员工，自动将其在下游所有应用的账号冻结或删除。 在 HR 系统中设置员工 A 为员工 B 的直属上级，同步至下游应用时，员工 A 依然是员工 B 的直属上级，确保审批流关系是正常的。 用户数据同步最佳实践Authing 为客户提供组织和用户数据同步场景下的最佳实践： 无需代码，在控制台简单配置即可。 自定义字段映射，灵活控制同步数据内容。 支持手动同步、定时同步、实时同步三种同步时机。 支持企业微信、钉钉、飞书等常见应用。 以上功能无法满足你的需求？扫描下方二维码咨询更多内容。 03.如何快速创建专属同步中心？ 创建同步任务 路径：组织机构->同步中心在控制台点击左侧导航栏 用户管理->同步中心（对于 ToE 的场景，路径是 组织机构->同步中心）即可进入同步中心管理页面 ，在这里你可以看到所有已创建的同步任务，也可以创建新的同步任务。要创建新的同步任务，执行以下步骤： 在 同步中心 页面点击 创建同步任务 按钮，或者直接在画板点击加号按钮打开 选择同步任务 窗口（对于后者，略过步骤 2 直接执行步骤 3 ）。 点击 Authing 同步中心 左侧加号为创建上游同步任务。点击 Authing 同步中心 右侧加号为创建下游同步任务。 在选择同步任务窗口根据需要切换上游同步 / 下游同步选项卡，选择进入一个上 / 下游应用。打开该应用的同步任务创建窗口。 在一个用户池新建一个同步任务时，同一个数据源不能既作为上游，又同时充当下游。 根据提示填写配置信息。 筛选同步范围。有关筛选同步范围详情，请参阅筛选同步范围。 配置用户同步字段映射。 选择适用的同步时机（提供手动、定时同步、实时同步 三种同步方式)。 配置同步策略。（本步骤仅适用于上游同步。） 点击创建。 重新进入所选应用的配置详情页，拷贝 事件订阅请求网址 URL。（本步骤仅适用于上游同步。对于上游同步，Authing 会在 配置信息 模块自动生成一个回调地址，用于接收应用事件。 配置应用权限。 同步任务创建完成。以上更详细的步骤前往 Authing 官网阅读（https://docs.authing.cn/v2/guides/sync-new/create-sync-new/）执行同步任务路径：同步中心当同步时机为手动时，需要管理员手动执行同步任务，实现上下游数据的同步。 执行同步 进入同步中心页面，可以看到同步任务画布，展示所有已创建的同步任务。要执行选定的同步任务，执行以下步骤：1、执行同步任务，数据不可恢复，要谨慎操作！2、必须为用户配置正确的手机号等必要字段信息（因三方数据源而不同），否则同步失败。在同步任务画布点击目标任务卡片上的执行同步任务按钮。打开确认执行弹窗。也可以进入该同步任务详情页，点击右上角执行同步任务按钮。 点击确定按钮开始执行同步。同步数据会需要一段时间，这取决于待同步的数据量的大小。 查看同步历史同步完成后，可以到待同步的应用用户管理页面查看同步后结果，检验同步是否成功。也可以进入同步任务详情页，点击同步历史选项卡，看到历次同步数据。你可以在同步历史标签页查看历次同步任务执行时间、同步方式（实时同步 还是 手动）、历次执行的组织和用户的变更状态及同步更新情况，可在操作列查看当次同步任务详情，并可导出此次同步执行日志。 1、序号：以倒序的方式统计应用同步任务当前执行的次数。2、同步时间：显示同步任务历次执行完成时间，最新的一次执行显示在首行。3、同步方式：显示创建或修改同步任务时指定的 同步时机 的值。对于手动同步，每次执行，都会生成一条记录。对于定时同步和实时同步，只会生成一条记录，其同步时间以最后一次为准。4、组织状态：统计此次执行同步任务，共有几个组织同步成功，同步成功数量/同步总数。5、组织更新：统计此次执行同步任务，共有几个组织更新成功，更新成功数量/更新总数 。6、用户状态：统计此次执行同步任务，共有多少用户同步成功，同步成功数量/同步总数。7、用户更新：统计此次执行同步任务，共有多少用户更新成功，更新成功数量/更新总数 。8、操作：点击操作列详情按钮，可以查看此次同步执行的主体、同步类型、同步完成时间以及是否成功同步。也可在 同步历史 列表中单击待查看项进入此次同步执行的详情页。有关详细介绍，请参阅下文 查看同步历史详情。点击 操作 列 导出 按钮，可以将此次同步日志导出为 Excel 文件。也可在当前同步执行的详情页点击右上角 导出 Excel 按钮。 查看同步历史详情你可以在同步历史详情页查看当前同步任务某次执行结果详细信息。 1、主体：可按用户、部门 进行筛选。2、同步类型：创建用户、更新用户信息、删除用户、创建部门、修改部门信息、删除部门信息、同步部门成员等。3、同步时间：展示本条数据同步完成时间。4、同步状态：可按同步成功、同步失败进行筛选。5、展开 / 收起按钮：如本条数据执行同步时，同步字段有更新，则可点击展开按钮查看字段更新详情。 导出同步日志管理员可以导出当次同步任务执行日志。要导出同步任务执行日志，执行以下步骤：1、在同步历史标签页，点击执行列表中某次执行所在行操作列导出按钮，也可在同步历史详情页点击导出 Excel 按钮。 2、在确认弹窗点击确认按钮。打开 Excel 格式同步日志。3、点击 下载文件 将同步日志下载到本地。 处理删除保护路径：同步中心->同步任务删除保护页Authing 认为，删除操作可能由于人为因素或系统因素等造成管理风险。因此下游同步过程中，在 Authing 控制台删除一个用户或部门时，需要在同步中心的删除保护页面进行二次确认。手动同步、定时同步、实时同步 都必须执行删除保护操作。删除保护仅适用于下游同步。第一步：删除用户 / 部门待删除用户 / 部门必须属于当前下游同步任务中 同步范围 指定的组织树和部门。删除用户 / 部门前确保已经执行了下游同步，且同步成功。删除用户办理离职的用户必须在 成员管理 中执行删除操作后，才能触发同步中心删除保护。1、办理离职a. 在 组织机构->组织管理（ToE 场景）/ 用户管理->组织机构（ToB / ToC 场景）组织树选中待删除成员所在部门。b. 在右侧部门成员列表选中待删用户。c. 在列表下方弹出的操作选项栏点击 办理离职。d. 在弹框点击 离职 进行确认。 2、删除账号a. 在 组织机构->成员管理（ToE 场景）/ 用户管理->用户列表（ToB / ToC 场景）点击待删除用户所在行 操作 列 删除账号 按钮。b. 在弹框点击 确定 确认删除。 删除部门路径：组织机构->组织管理（ToE 场景）/ 用户管理->组织机构（ToB / ToC 场景）在删除部门前需要移除部门内子部门及用户，否则无法删除。 1、移除部门下所有用户。在勾选部门下用户后，如果列表下方弹出的操作栏中 移除成员 按钮是激活状态（所选用户仅属于当前部门），则点击该按钮将所选用户从当前部门直接移除即可；否则，需要按照办理用户离职步骤 1 所述将所选用户通过办理离职方式从当前2、部门用户列表中移除。删除部门下所有子部门。3、删除部门。a. 在左侧组织树点击所选部门后的更多按钮（...），选择 删除部门。b. 在弹框点击 删除 按钮确认删除。系统提示成功删除部门。第二步：在删除保护页执行删除同步任务画布中，处理删除保护 按钮有两种状态：默认状态（黑色）：当前同步任务无待处理的删除操作。高亮状态（橙色）：当前同步任务有待处理的删除操作。 1、返回同步中心，在同步任务画布找到待同步数据的下游应用，点击处理删除保护按钮，进入 删除保护页。也可在下游应用的同步任务详情页点击右上角 删除保护 按钮进入删除保护页。2、在操作列表点击待删除主体所在行操作列执行删除 按钮，并在确认弹窗中点击确定。提示操作成功。 删除列表 默认显示所有 未执行 的删除操作。点击表头 执行状态 取消勾选 未执行 后，可查看到当前下游应用的所有删除操作执行记录，了解其执行状态。点击 操作列执行删除按钮可执行删除操作，即在下游同步删除该用户 / 部门。点击 操作 列 取消删除 按钮不执行删除操作，即下游不会同步删除该用户 / 部门，当前删除操作 执行状态 变为 已取消。取消删除 后，不可再重新执行同步任务，会导致上下游数据不一致，请谨慎操作！ 对于 未执行 和/或 执行失败 状态，可以选择多个条目进行批量操作。 维护同步任务路径：组织机构->同步中心同步中心画布展示所有已创建的同步任务。对于已创建的同步任务，管理员还可以 查看各同步任务的执行状态，查看和修改同步任务信息，启用 / 禁用同步任务，删除同步任务等。 查看同步任务执行状态 同步中心画布集成了由 Authing 同步中心连接的所有上游身份源和下游应用。Authing 同步中心与上下游建立了同步任务，画布为不同的任务执行状态定义了不同的颜色：蓝色：正在执行同步任务。绿色：同步成功。红色：同步失败。橙色：存在删除部门 / 用户的操作，需要管理员手动确认是否执行同步。灰色：当前同步任务尚未执行同步操作。管理员可以更直观地查看同步任务的执行状态，从而采取相应措施：对于尚未执行同步操作的任务，管理员可以点击执行按钮 执行同步任务。对于执行失败的同步任务，Authing 同步中心除了赋予红色标识，在相应任务卡片上还给出红色报错提示，点击即可打开报错弹窗。管理员可以点击按钮拷贝报错信息，便于查询。 对于存在删除操作的同步任务，管理员可以处理删除保护。 修改同步任务信息管理员可以点击画布中目标同步任务卡片，进入该同步任务详情页，根据需要修改任务配置信息。除了可以修改 配置信息、同步范围、用户同步字段映射、同步信息，管理员还可以修改同步任务备注名称，赋予其具有实际业务意义的命名。从而在同步任务画布包含诸多任务时，便于区分。 启用禁用同步任务在一些业务场景中，虽然 Authing 同步中心已经与某些应用建立了同步任务，但暂时不需要与这些应用同步数据。此时，可以将此类同步任务暂时禁用，根据需要再启用。要禁用某个同步任务，可以进入该同步任务详情页，关闭该同步任务开关（同步任务创建后默认开启）。 要重新启用该同步任务，可以进入详情页开启此开关，也可以直接在首页画布进行开启。 删除同步任务删除后不可恢复，请谨慎操作！ 要删除某个同步任务，执行以下步骤：1、进入该同步任务详情页。2、在详情页底部点击 删除同步任务 按钮。3、在确认弹窗中点击 确定 按钮。则系统提示成功删除当前同步任务。

随着数字化转型的深入，企业网络安全面临着越来越复杂的挑战。传统的网络安全边界正在逐渐模糊，远程办公、云计算和 BYOD（自带设备办公）的普及，使得传统的基于边界的安全模型难以应对新的威胁。而面对访问者身份及接入终端的多样化、复杂化打破了网络的边界，传统的访问管控方式已经过于单一。在用户一次认证后，整个访问过程不再进行用户身份合规性检查，无法实时管控访问过程中的违规和异常行为。为了应对这些挑战，零信任网络访问（ZTNA）作为一种新兴的安全框架，逐渐成为企业确保网络安全的首选方案。 01.什么是零信任网络访问 ？ 零信任网络访问（ZTNA，Zero Trust Network Access）是一种基于零信任安全原则的网络访问架构。之所以称之“零信任”，是因为它基于“永不信任、始终验证”的原则。任何用户或设备在其身份和授权得到验证之前都不被信任，不能访问资源，而是通过持续的验证和监控来确保网络资源的安全访问。这个概念在 2010 年，由 Forrester Research 分析师 John Kindervag首次提出。零信任不但适用于企业内部网络，例如：使用在家远程登录企业内网工作的员工，参加全球会议时使用移动设备的员工。也适用于该网络之外的个人或终端设备。无论您之前是否访问过网络，访问过多少次，您的身份都是不可信的，必须再次验证。 02.企业面临的困境 企业业务云化，数据边界被打破 在当今的数字经济中，越来越多的企业选择将其关键业务和应用程序迁移到云端，这种趋势使得企业传统的网络边界逐渐模糊甚至完全消失。同时，员工的工作方式也发生了巨大变化，使用各种设备在不同地点、不同时间进行远程办公已成为常态。这种分布式的工作环境对企业的安全管理提出了前所未有的挑战，传统的基于边界的 VPN 管控方式已经显得力不从心。VPN 的静态授权机制无法灵活应对动态变化的安全需求，甚至可能放大安全隐患，增加数据滥用的风险。因此，企业迫切需要一种能够在无边界环境中有效管理和保护其分布式资源的安全方案，这就是零信任架构的核心价值所在。 高低密级数据混合管理，数据泄露风险增加 传统的安全模式通常将内部网络视为可信任的安全区域，但这一假设在今天的威胁环境中已经变得非常危险。一旦黑客成功入侵企业内网，他们往往能够在未经进一步验证的情况下访问内部网络上的所有资源。这种“内部默认信任”的模式极易导致数据泄露，特别是在处理高低密级数据混合管理的场景中。企业无法实时监控和控制访问过程中的违规和异常行为，使得静态的安全措施难以应对动态的威胁环境。 全球市场扩展的趋势 全球市场的扩展也进一步推动了企业对零信任架构的需求。根据多家市场研究机构的预测，全球 ZTNA 市场在未来几年内将保持高速增长。预计在 2023 年至 2027 年之间，年均复合增长率（CAGR）将超过 20% 。随着企业扩展到全球各地，零信任架构能够为分布在不同地域的员工和资源提供一致且高度安全的访问控制，确保企业能够在多样化和复杂的环境中保持安全运营。 03.零信任垂直行业 金融行业 在金融行业，数据的敏感性和严格的合规要求使得安全问题尤为重要。金融机构处理着海量的客户数据和交易信息，这些数据一旦泄露，不仅会给客户带来巨大损失，还会对企业的声誉造成不可挽回的影响。传统的安全措施已经无法满足日益复杂的威胁环境，零信任网络访问（ZTNA）应运而生，成为金融行业强化安全防护的重要工具。 精细化访问控制：ZTNA 允许金融机构根据用户的角色、设备状态、地理位置等因素，动态调整访问权限，确保只有经过严格验证的用户才能访问敏感数据。 合规性管理：ZTNA 架构能够帮助金融机构更好地满足各类金融法规和合规要求，如 PCI DSS（支付卡行业数据安全标准）和 GDPR（通用数据保护条例）。通过持续监控和记录访问行为，ZTNA 可以提供详细的审计日志，方便监管审查。 抵御复杂威胁：面对不断演变的网络攻击手段，ZTNA 采用“永不信任，始终验证”的策略，大幅降低了内部攻击和数据泄露的风险，确保客户数据和交易信息的绝对安全。 医疗行业 随着电子病历（EMR）的普及和远程医疗服务的兴起，医疗行业对数据安全和患者隐私保护的要求也在不断提升。ZTNA 在医疗行业中的应用潜力巨大，能够为医疗机构提供强大的数据保护和隐私安全保障。 患者数据保护：医疗数据通常包含高度敏感的个人信息和健康记录，一旦泄露将造成严重后果。ZTNA 通过严格的身份验证和最小权限原则，确保只有经过授权的医护人员才能访问特定患者的数据，从根本上防止数据滥用。 支持远程医疗：随着远程医疗的兴起，医生和患者通过互联网进行诊疗已成为常态。ZTNA 能够确保这些远程连接的安全性，无论医生位于何处，都能以安全的方式访问医疗系统和患者数据，防止未经授权的访问和信息泄露。 合规性保障：医疗行业受到如 HIPAA（健康保险可携性和责任法案）等法规的严格监管，ZTNA 通过持续的监控和审计功能，帮助医疗机构实现合规性管理，确保患者数据的安全与隐私保护。 制造业 制造业正处于数字化转型的关键阶段，智能制造和全球供应链的发展使得企业面临着越来越多的网络安全挑战。在这样的背景下，ZTNA 能够为制造企业提供强有力的安全保护，尤其是在保护知识产权和敏感数据方面。 知识产权保护：制造企业的核心竞争力往往体现在其知识产权上，如专利技术、工艺流程和设计图纸等。ZTNA 通过动态授权和精细化访问控制，防止未经授权的人员或设备访问这些敏感数据，确保企业核心资产的安全。 全球供应链安全：在全球化的背景下，制造企业的供应链通常跨越多个国家和地区，供应商和合作伙伴之间的数据共享变得越来越普遍。ZTNA 能够确保这些跨境数据传输的安全性，防止供应链中的数据泄露和篡改。 智能制造环境下的安全保障：随着工业物联网（IIoT）的普及，制造设备和系统的互联互通为企业带来了新的安全挑战。ZTNA 通过对设备和系统的持续监控，能够及时发现并阻止潜在的安全威胁，确保智能制造环境的安全运行。 04.基于零信任的身份管理平台，实现身份安全互联 持续自适应多因素认证（CAMFA）- 企业零信任最佳实践 对于面临更复杂的安全环境和有特殊安全监管需求的企业来说，仅用一次性的身份认证来控制对敏感系统的访问已经不再足够，用户的安全状况可能在系统会话期间动态变化。此时企业需要有持续评估安全风险技术来对用户进行动态安全系数评估，并基于该评估来决定是否需要增加额外的因素认证。「持续自适应多因素认证（Continuous Adaptive Multi-Factor Authentication，CAMFA）」是一种安全身份验证方法，它在自适应多因素认证（基于上下文属性判断当前安全状况以增加因素认证）的基础上增加了实时风险评估技术对用户进行动态评估安全系数。在时间维度上，持续自适应多因素认证在用户整个使用旅程中持续不断的对其进行信任评估，以决定是否需要增加额外的认证流程。这样做的好处就是企业的安全得到实时监控，而用户只会在进行风险操作时被提示需要进行额外的认证。 超细粒度权限管控，坚持最小权限原则Authing 作为领先的身份管理和访问控制平台，与 ZTNA 中的微分段技术完美结合，进一步增强了企业的安全性。通过微分段技术实现了最小权限原则，即用户只能访问其完成任务所需的最少资源。每个微段中的资源访问是严格受控的，用户必须经过身份验证和权限检查才能进入特定的微段。微分段技术有效限制了攻击者在网络中的横向移动能力即使黑客入侵，他们也只能接触到极少的信息，无法肆意横行。不仅如此，Authing 提供「管理员权限」，让权限管理回归到业务本身。根据员工职责来赋予员工不同的角色权限。系统将各类权限聚合起来组成「角色」，给后台管理员（员工）赋予不同的角色，就可以控制其在系统中可接触的空间范围，确保他们「权责分明」、「不越界」。 持续监控用户行为，实时审计日志在现代企业网络安全架构中，持续监控与实时记录已成为确保数据安全和合规管理的核心策略。Authing 不仅能够及时发现潜在的安全威胁，还能提供详细的审计日志，以支持事后分析和合规性审查。持续监控实时捕捉并分析用户的行为模式、设备状态、访问路径等信息。一旦检测到与正常行为模式不符的异常活动，如非正常时间的登录尝试或异常的大量数据传输，系统能够立即发出警报，并采取适当的应对措施，防止潜在的安全威胁进一步扩大。

随着信息化的快速发展和合规管理的深入普及，企业 IT 架构正在从“有边界”向“无边界”转变，传统的安全边界逐渐瓦解，越来越多企业开始关注企业数字化风险管控的措施和手段。企业数字化身份管理需要从碎片化向集中化、从单一化向多元化、从静态化向动态化、从粗放化向精细化演进。据 IDSA《国际 2023 年数字身份安全趋势报告》显示，90% 的组织在过去一年中至少经历过一次与身份相关的泄露，比 2022 年的 84% 增加了 6% ，68% 的组织因此遭受了直接的业务影响，从而损害企业声誉。面对这样的数字化风险，企业不仅需要更为精细的身份管理，更需要有效的风险控制手段。在这种背景下，职责分离（SoD, Segregation of Duties）逐渐成为企业提升安全性和合规性的重要原则。 什么是职责分离？职责分离( Segregation of Duties，简称 SoD )是一种关键的内部控制原则，旨在通过将不同的职责和任务分配给不同的个人或部门，以减少错误和舞弊的风险。其核心理念是防止任何一个人或部门拥有足够的权限来完全控制所有关键业务流程，从而保护企业的资产和数据的完整性。SoD 的基本原理可以概括为以下几点: 职责分配:将关键任务分配给不同的人员或部门。这些任务通常包括授权、记录和审核。通过将这些任务分开，可以防止单个人员拥有过多的控制权，减少错误和舞弊的风险。(定义) 权限控制:实施严格的权限控制，以确保只有被授权的人员才能执行特定的任务。这需要结合身份和访问管理 (IAM) 系统，以动态地管理和监控权限。(管控) 相互监督:通过相互监督，确保每个任务都由不同的人员负责，并且相互之间进行监督和检查。这种相互监督机制可以及时发现和纠正错误和不当行为。(监督) 审计和监控:定期进行审计和监控，以评估 SoD 的实施效果。通过审计，可以发现和纠正内部控制中的薄弱环节，确保SoD 的有效性。(审计) 02.企业面临权限管理困境 员工职权滥用职责分离的核心目标是防止单一员工或团队拥有过多的权限，从而减少滥用权力的机会。在企业运营中，如果一个人同时负责多个关键环节，如授权、执行和审计，那么该员工就有可能通过滥用职权进行欺诈或掩盖错误。这种权力的集中无疑会为内部控制带来巨大的风险。也就是我们平时经常说起一种不合理的现象：既当裁判员、又当运动员！自己制定规则、自己执行规则，运动员成绩怎么样，自己说了算，这是明显很不合理的设计。这里的裁判员和运动员就是不相容岗位，就像审计部既要负责风险管理体系的建设运行、又要负责风险管理体系的监督，主导体系建设运行，相当于运动员，而监督职能相当于裁判员，也是明显不合理的。 业务操作模糊化随着企业规模的不断扩大和业务复杂性的日益增加，企业在面对激烈市场竞争和不断变化的环境时，优化业务流程和强化内部控制已成为提升运营效率和降低运营成本的关键战略。当不同的员工分别负责某一流程的各个环节时，每个环节都可以被独立记录和审核，确保操作的合规性和准确性。由于责任被分散在多个环节中，就会出现责任不明确的情况，导致流程的某些方面难以追踪或问题被掩盖。虽然分工能够提高操作的合规性和准确性，但也需要确保各环节的职责划分清晰，以防止操作过程中的模糊化，确保整体流程的透明和有效管理。 严格审计合规要求许多行业，尤其是金融、医疗、能源等高度监管的领域，要求企业遵守严格的合规标准。2018 年证监会发布《证券基金经营机构信息技术管理办法》（第 152 号令），第三十二条明确提出关于账号管理“最少功能、最小权限分配原则”和“对信息系统权限的定期检查与核对机制，确保用户权限与其工作职责相匹配，防止出现授权不当的情形”的监管要求。这种合规标准通常要求企业在权限管理中进行职责分离，确保不同的员工或部门分别负责关键职能，如审批、执行和审计，从而形成相互监督和制衡的机制。 03.职责分离是企业权限管理的核心原则 在企业权限管理中，职责分离不仅有助于防范潜在的安全威胁，还能有效提高企业的运营效率和管理水平。它确保各部门之间的权限分配合理，避免因权限不当分配导致的内部纠纷和操作冲突。同时，职责分离也是合规性管理的重要组成部分，特别是在金融、医疗和能源等高度监管的行业中，职责分离的实施往往是企业遵循法规要求和通过外部审计的必要条件。在实际应用中，SoD 在企业中可以通过以下几个方面来实现 业务流程优化，打造灵活用户服务策略Authing 以用户为中心，致力于为用户打造全面的自助服务体验，构建更加智能的自助服务策略。无论您是正在实施自助服务，还是需要对当前功能进行更新，采用结构化设计方法都能确保您的自助服务能够充分满足用户需求，以适应不断变化的市场和业务环境。用户自助服务允许员工自行管理诸如密码重置、访问权限请求等常规操作，无需等待 IT 部门的响应，极大减少了 IT 部门的日常工作负荷，将其从繁琐的例行事务中解放出来。并且自助服务自动化了许多常规流程，如帐户创建、权限管理和问题解决等。并且用户自助服务通常包括审计跟踪和权限控制功能性，确保每一步操作都被精确地记录和监控，从用户发起的请求到最终的授权和访问，都可以被追溯到其源头。精细化的监控机制实现了对于任何访问的可追溯性。用户审计日志能够帮助企业及时发现和解决潜在的安全漏洞，并保证其业务活动符合相关的法律法规和行业标准。企业能够建立起更为健全和可靠的安全体系，保护重要数据和资源免受未经授权的访问和不当使用。 精细化权限管理，让权限回归业务本身企业很难寄希望于构建一条一劳永逸的用户旅程，权限管理需要根据业务场景的变化而变化。Authing 提供「管理员权限」，让权限管理回归到业务本身。根据员工职责来赋予员工不同的角色权限。系统将各类权限聚合起来组成「角色」，给后台管理员（员工）赋予不同的角色，就可以控制其在系统中可接触的空间范围，确保他们「权责分明」、「不越界」。Authing 新版管理员不仅不局限于超级管理员的权限分配与管理，还支持协作管理员将自己拥有的权限继续授权，达到层层下放的授权效果，实现灵活又严谨的权限管理能力。从全局考虑数据资产，基于场景对业务流程不断进行切片细化，用数据优化、重构，推动整个商业模式，实现细粒度的权限管理，以用户为中心，实现全场景业务权限的集中化、可视化、个性化。 完善审计日志，保障企业安全合规Authing 以用户为单位，提供可视化、全局的权限视图，清晰展示每个用户在不同应用下的资源权限和关联策略，为企业提供了全面的可视化信息，帮助企业管理员轻松查看和管理员工的权限情况。 通过筛选生成多个权限视图，企业能够更轻松地进行事后审计，降低了重复低效的工作。企业不再需要手动检查每个用户在每个应用中的权限，而是可以依靠全局的权限视图来实现快速的权限管理和审计，提高工作效率，减少潜在的失误和风险，确保企业在个人信息保护相关法律和法规方面数据合规。

近日，首个国产 3A 大作《黑神话：悟空》正式在全球上线，互联网上似乎所有的热搜都集中在了它上线这件事上。截至目前，《黑神话:悟空》在各平台总销量超过 450 万份，总销售额超过 15 亿元，大幅刷新了国产游戏的历史纪录，标志着国产 3A 游戏实现了零的突破。而在昨晚《黑神话：悟空》的在线玩家人数，更是达到了一个恐怖的数值—— 211 万。这一现象不仅体现了国产游戏在技术和内容上的飞跃，也展示了游戏行业在全球范围内的影响力日益增强。随着用户数量的急剧增加，游戏行业在迎来蓬勃发展的同时，也面临着新的挑战。大规模用户基础和日益复杂的项目结构，对企业的身份管理提出了更高的要求。如何确保玩家账户的安全、如何高效管理员工的访问权限，成为了亟待解决的问题。在此背景下，游戏行业的身份需求变得更加迫切。 图片来源：游戏科学 01.游戏行业面临挑战 员工身份登录难随着企业内部应用的激增，员工们面临着越来越多的账号和密码管理压力。在日常工作中，他们需要频繁访问多个系统，每个系统都有独立的登录凭证。员工需要记住和管理众多账号密码，复杂难记或设置单一的密码容易导致安全隐患。并且登录入口众多且界面不统一，频繁切换不同应用，导致员工体验不佳。多身份源问题还可能带来安全隐患。一旦某个账号的安全性被破坏，其他系统也可能受到连带影响，进一步扩大了安全漏洞，也使得统一管理更加复杂。 权限管理工作量大在游戏行业中，企业往往面临多项目、多办公地点以及员工身份多样化等复杂局面，这导致了权限管理的极大挑战。由于无法对所有用户的访问权限和行为进行集中管理，信息孤岛与数据安全问题愈发严重。大多数企业缺乏统一的权限申请入口，导致权限开通繁琐且效率低下。员工的入职、离职及账户管理频繁，IT人员需要花费大量时间和精力处理这些事务，效率低且容易出错，缺少自动化的管理机制与功能，使得整个流程效率低下。 玩家身份数据不统一玩家的游戏登录入口多样，设备种类繁多以及社交登录方式的多元化，再加上游戏行业常有出海或拓展中国市场的需求，需要在不同地区上线符合当地法规、用户习惯的应用。但国外的登录认证产品无法全面支持中国的应用生态，也较难配合中国的合规要求。游戏会员系统之间未能实现打通，导致碎片化身份难以整合。同时，企业无法有效识别玩家的身份画像，增加了提升用户体验和进行消费洞察的难度。 02.构建身份基础设施成为企业身份管理关键步骤 集成应用至登录门户，办公更省时单点登录（SSO）是目前企业降本增效以及提升用户体验的主流选择方案。相关的安全性配置也非常重要，包括适当的会话管理、强制重新认证、定期会话失效等策略，以防止会话劫持和重放攻击。Authing 通过将多个应用集成至一个工作台，实现了单点登录的强大能力，而无需进行额外的开发工作。Authing 预集成 2000+ 应用，能帮助企业快速实现单点登录。用户只需登录一次，即可高效安全访问所有应用系统，管理员只需一处即可管理所有用户身份体系，极大地简化了繁琐的登录流程，显著提升了业务操作的效率。 超细粒度权限管控，大幅降低安全风险Authing 的统一权限管理系统实现了权限设置的集中管理，确保员工只能访问与其角色和职责相关的信息和系统，降低了未经授权访问的风险，确保公司遵循了相关的数据保护法规和内控要求。当员工入职、离职或组织架构变动时， 能自动触发管理流程并进行权限的申请、审批、开关，能有效减少管理成本，和规避漏关/错开权限带来的数据泄漏风险。并且通过 Authing，企业能将多个不同权限架构的应用轻松集成至一个统一的后台，将各应用的功能拆分为细粒度的资源，即可集中控管各应用下的资源，无需付出额外的应用对接成本。企业能够根据自己的需求创建 API、菜单、按钮等资源，定义对应资源操作（如读取、编辑等），以及被赋予权限的主体角色 （职位、项目组、部门等），几乎能涵盖市面上所有权限管理的场景。 海内外第三方登录方式，支持全球用户顺畅登录随着全球化业务的不断拓展，企业越来越需要为不同地区的用户提供顺畅而便捷的登录体验。海内外用户对登录方式的需求各不相同，如何兼顾这些差异化需求，成为企业在全球市场中竞争的一大挑战。Authing 提供 Google、Facebook、微信、支付宝等海内外应用，拥有 ISO、三级等保等认证，并且在全球多个节点进行部署，安全合规、响应快速，能帮助企业兼顾海内外业务的登录认证需求。无论用户位于何处，都能够享受到稳定、安全的登录体验。Authing 的多样化第三方登录方式不仅能够满足各地区用户的使用习惯，还极大简化了用户的登录流程，提升了用户体验。无论是你想要什么样的登录方式，都能通过 Authing 顺畅地访问应用和服务。 03.最佳客户案例：国内领先游戏企业 痛点需求 企业存在 2000+ 员工的应用登录管理和授权问题，且随着业务的不断增长，员工数量的激增，HR 团队和运维人员每天需要处理大量的账号创建、权限分配、密码重置和账号注销等任务。不仅耗时费力，而且容易出现错误。传统的员工生命周期管理方式已无法为企业提供效率和安全性的保障。一旦管理不到位，可能会导致安全漏洞和数据泄露风险的增加。 企业内有企业微信与飞书的双数据源，这种双数据源的存在却带来了不少管理难题。尤其是当企业需要将这两套系统与多个应用系统进行集成，并实现统一的身份认证和管理时，难度和复杂性进一步增加。且需集成数个应用系统与打通身份体系，通过自研打通组织架构体系、实现员工单点登录的难度较大、时间周期长，沉没成本高。 企业面临着两项关键需求：一方面，希望通过私有化部署来确保数据的安全性，防止敏感信息外泄；另一方面，要求产品具备 SaaS 化能力，以便在管理、维护和升级上享受云服务带来的便捷性和高效性。然而，传统的身份和访问管理（IAM）解决方案往往难以同时满足这两项需求。 解决方案 Authing 的单点登录（SSO）和应用市场功能，轻松实现员工使用一个账号和密码即可访问所有应用，并且统一管控身份和权限。对于企业来说，这意味着在无需任何开发投入的情况下，即可大幅提升员工的工作效率和系统的安全性。员工只需使用一个账号和密码，便能访问公司内部所有的应用系统，无论是办公软件、项目管理工具，还是其他业务应用，登录过程变得极为便捷。员工无需再为多个账号密码而烦恼，能够将更多精力集中在工作本身，从而提升整体工作效率。 Authing 通过与飞书、企业微信产品层面的打通，为企业提供身份供应，统一基于双组织架构下的不同权限不同访问级别，当员工加入公司或晋升时，可以轻松在后台实现分配和更改不同应用的权限，企业也可以在员工离职时，轻松取消、撤销所有不同平台的访问权限，保护企业数据安全，节省运维人员 80% 的工作量。 Authing 的云原生技术架构使得企业能够充分利用云计算的弹性和扩展性。企业可以轻松应对业务需求的变化，无论是玩家数量的激增，还是全球业务的快速扩展，都能够在云端灵活调整资源配置，确保系统的高可用性和稳定性。云原生架构也使得新功能的开发和部署更加敏捷，缩短了产品的迭代周期，从而帮助企业快速响应市场变化和用户需求。Authing 还支持 SaaS 模式下的私有化部署，完美兼顾了企业对云服务的便捷性和对数据安全性的高标准要求。