统一用户和权限管理设计课件

江苏电力信息化登高项目2010.5统一用户和权限管理方案汇报工作背景现状、问题和建议设计目标设计原则设计方案现实方案目录统一用户和权限管理设计|29十一月2023工作背景现状、问题和建议设计目标设计原则设计方案现实方案目录统一用户和权限管理设计|29十一月2023SG186期间国网完成了全国统一的目录部署。SG186期间江苏建力了统一框架，实现了自开发业务系统（生产、配电、综合管理、财务、物资、法律）的统一授权和功能统一展现。SG186期间江苏完成了门户与协同办公的建设，实现了门户和OA系统的很好的整合。江苏作为SGERP的试点，正在做企业架构设计和业务梳整，并准备上线SAP系统中的部分模块。SG186期间国网推广了SAP和很多配套的管控系统，迅速提升了全国电网信息化的水平。SGERP期间国网正在做统一的信息化设计。工作背景4江苏省电力公司信息化登高项目|06一月2024

统一用户和权限管理设计|29十一月2023工作背景现状、问题和建议设计目标设计原则设计方案现实方案目录统一用户和权限管理设计|29十一月2023现状、问题和建议6江苏省电力公司信息化登高项目|06一月2024

现状问题建议1.国网和江苏的门户目前都只是做了业务系统的主界面链结。1.门户不能统一展现所有业务系统的业务功能，用户在做具体业务的时候还是要进到各个业务系统的主界面做业务。1.建立企业级统一权限管理，所有业务系统使用统一权限进行权限管理，门户根据统一权限显示所有业务系统的功能菜单。2.国网和网省的业务系统通过功能页面链结做了一些功能的对接，比如国网通过链结访问江苏的生产系统的功能。2.国网要对国网的用户在业务系统中针对该功能做授权，在网省也要对国网的用户做相同的授权，两边的授权很难保持一至，导至可操作性很差。2.建立从国网角度看上下级逻辑上一体化的权限体系。3.江苏在SG186期间做了统一权限3.只从网省自己而不是从整个国网角度去设计统一权限。比如用户ID在全网范围内不一至等。3.充分考虑国网和网省的场景，使得从国网角度向下看到的是整个国网范围内完整的权限信息，并跟国网充分沟通，使得江苏跟国网的权限方案一至。统一用户和权限管理设计|29十一月2023现状、问题和建议7江苏省电力公司信息化登高项目|06一月2024

现状问题建议4.统一权限中基准组织、用户、岗位从人资同步数据。4.人资系统组织机构、岗位信息变更过于频繁，引起统一权限部分维护工作量过大。5.人员临时借用在人资系统没有体现。4.使用修改流程而不是直接同步的方式处理基准组织、用户、岗位的同步。同时可以通过在统一权限中做组织机构和岗位与人资组织机构、岗位的对照来避免频繁的变更。5.江苏使用的目录产品是AD域6.目录产品与国网典设不一至。5.目录部分使用于国网典设一至的方案。统一用户和权限管理设计|29十一月2023工作背景现状、问题和建议设计目标设计原则设计方案现实方案目录统一用户和权限管理设计|29十一月2023设计目标-全国网范围内所有系统统一授权9江苏省电力公司信息化登高项目|06一月2024

业务系统A部署在国网业务系统B部署在国网业务系统C部署在国网业务系统D部署在国网业务系统A部署在网省业务系统B部署在网省业务系统C部署在网省国网用户网省用户从国网角度看目前状况1.各个业务系统权限模型不一致，有好有差；增加了企业内部部门和人员权限变更及企业部门重组时的调整难度。2.最终用户要面对很多系统的很多功能，增加用户使用难度。3.过于明确的业务系统界线，不利于企业从全公司角度协调和控制业务系统的划分和实现。4.二级部署的应用，对于要使用网省应用功能的国网用户，要在国网和网省进行两次授权，或者要让用户分别访问部署在各个网省的应用，可维护性很差，并且增加了最终用户的使用难度。使用业务系统使用业务系统国网业务系统权限管理员国网业务系统权限管理员国网业务系统权限管理员国网业务系统权限管理员网省业务系统权限管理员网省业务系统权限管理员网省业务系统权限管理员权限管理权限管理权限管理权限管理统一用户和权限管理设计|29十一月2023设计目标-全国网范围内所有系统统一授权10江苏省电力公司信息化登高项目|06一月2024

国网部署结点省网部署结点国网用户网省用户统一展现层业务系统A业务系统B业务系统C业务系统D国网部署结点省网部署结点国网部署结点省网部署结点国网部署结点统一用户和权限管理资源目录国网权限管理员网省权限管理员使用业务功能权限授权业务系统E省网部署结点统一展现业务功能获取权限信息保存权限信息1.把各种部署方式的业务系统从逻辑上整合成一个业务，使得从国网角度看到全局而又简洁的业务系统。2.用户统一通过统一展现层使用所有业务系统的功能，带来： A.改善用户体验 B.可以根据业务需要在统一展现层重组业务模块划分，模糊了业务应用的边界，更易调协业务应用和实现。3.统一权限模型和权限管理流程，简化企业权限管理的工作。目标状况统一用户和权限管理设计|29十一月2023设计目标-提供用户的分级管理11江苏省电力公司信息化登高项目|06一月2024

国网LDAP网省LDAP把国网用户同步到网省把用户同步到各业务系统把用户同步到各业务系统业务系统A部署在国网业务系统B部署在国网业务系统C部署在国网业务系统D部署在国网业务系统A部署在网省业务系统B部署在网省业务系统C部署在网省国网业务系统人员管理员从国网角度看目前状况1.用户信息同步到业务系统，并不能做到完全自动，还是需要管理维护： A.增加了业务系统维护量； B.两边信息很有可能产生不一致； C.增加了系统运维维护量。2.需要针对各个业务系统分配人员管理员国网统一用户管理网省统一用户管理国网业务系统人员管理员国网业务系统人员管理员国网业务系统人员管理员网省业务系统人员管理员网省业务系统人员管理员网省业务系统人员管理员网省统一人员管理员国网统一人员管理员统一用户和权限管理设计|29十一月2023设计目标-提供用户的分级管理12江苏省电力公司信息化登高项目|06一月2024

业务系统A业务系统B业务系统C业务系统D统一用户和权限管理资源目录用户管理员需要用户信息时动态获取业务系统E用户管理只在统一用户和权限管理中进行，业务系统不做用户管理相关的任何操作，简单化管理工作量。通过把管理工作分解到下级单位和部门，使得处理用户变化更为及时。目标状况国家电网财务部审计部XX部XX省电力公司财务部审计部XX部用户管理员用户管理员用户管理员XX市公司财务部审计部XX部用户管理员用户管理员用户管理员用户管理员用户管理员用户管理员用户管理员统一用户和权限管理设计|29十一月2023设计目标-提供权限的分级管理13江苏省电力公司信息化登高项目|06一月2024

业务系统A业务系统B业务系统C业务系统D统一用户和权限管理资源目录权限管理员需要权限信息时动态获取业务系统E通过把权限管理工作分解到下级单位和部门，使得处理权限变化更为及时。目标状况国家电网财务部审计部XX部XX省电力公司财务部审计部XX部权限管理员权限管理员权限管理员XX市公司财务部审计部XX部权限管理员权限管理员权限管理员权限管理员权限管理员权限管理员权限管理员统一用户和权限管理设计|29十一月2023设计目标-为企业级流程业务提供统一的组织机构用户权限14江苏省电力公司信息化登高项目|06一月2024

部门休假审批人江苏省电力公司财务管理部部门休假审批人人资模块休假申请审批申请人申请休假申请人所在部门的“部门休假审批人”审批申请人所在单位的“单位休假审批人”审批李四业务流程财务部主任休假情况查看人员基本情况查看江苏省电力公司统一用户和权限提供的信息统一用户和权限管理设计|29十一月2023工作背景现状、问题和建议设计目标设计原则设计方案现实方案目录统一用户和权限管理设计|29十一月2023满足当前需要：满足国网公司对当前信息化工作的管理要求；满足可见的未来的需要：最大程度上适应电力未来业务变更的建设要求；参照标准：如果有正好合适的标准直接使用标准，如果有相近的标准要参照该标准。简化操作：在满足需求的前提下尽可能简化涉及的概念和操作。系统可靠性：尽可能提供系统的可靠性。设计原则16江苏省电力公司信息化登高项目|06一月2024

统一用户和权限管理设计|29十一月2023工作背景现状、问题和建议设计目标设计原则设计方案现实方案目录统一用户和权限管理设计|29十一月2023行政组织组织机构权限模型–企业组织分析李四XX公司总经理工作部主任财务部总经理XX下级公司张三XX部李四主任企业用来管理人员的组织体系，它的层级和分枝会比较详细。由于组织、岗位、人员构成通常来自于人资管理。18统一用户和权限管理设计|29十一月2023组织机构权限模型–企业组织分析业务组织XX公司总经理工作部部门合同审批人财务部巨额合同审批人XX下级公司XX部部门合同审批人业务组织用来表达业务系统权限的分配、支持业务流程的运行由组织、角色、企业角色组成比如：SAP中的利润成本中心、仓库、工厂党务体系、工会体系项目性业务对应的项目组组织19统一用户和权限管理设计|29十一月2023组织机构权限模型–企业组织分析数据组织XX公司XX下级公司设备1设备2设备3设备4设备5设备隶属于业务对象中表达该对象的归口管理组织或隶属组织由组织构成20统一用户和权限管理设计|29十一月2023行政组织组织机构权限模型–企业组织分析李四XX公司总经理工作部主任财务部总经理XX下级公司张三XX部李四主任业务组织XX公司总经理工作部部门休假审批人财务部巨额合同审批人XX下级公司XX部部门休假审批人数据组织XX公司XX下级公司三者很有可能不一至，数据组织通常表示业务对象的归口管理和隶属，也就内含着权限的分配，所以通常可以把企业组织和数据组织合并。行政组织只做人员管理。21统一用户和权限管理设计|29十一月2023组织机构权限模型–

总体模型基准组织与用户角色体系业务组织体系系统功能体系相互关系22统一用户和权限管理设计|29十一月2023组织机构权限模型–

基准组织与用户基准组织体系：企业主要的行政组织体系。人：参与到本企业运营的所有人员，并且不再区分用户和人，角色性质的用户的业务内涵由业务组织角色来完成。比如用户“系统管理员”，原则上不允许存在，可以建一个业务组织角色“系统管理员”，然后把相应的人加到这个业务组织角色中即可。其数据分两部分： A：被人力资源管理模块的数据（全民、集体、农电员工） B：非人力资源管理模块管理的数据（临时员工、外来的临时人员）李四江苏省电力公司财务部主任23统一用户和权限管理设计|29十一月2023组织机构权限模型–业务组织体系业务组织体系：通常一个企业都会存在不同的业务模块或业务模型，比如党务管理、财务管理、营销管理、生产管理，通常因为业务运转的需要业务模型会对应一套或多套于基准组织并不完全一至的组织体系，我们把这种组织体系称为业务组织体系，一套业务组织体系可以被多个业务系统共享基准组织单元组成的组织体系也作为组织体系中的一套。业务组织四个作用：一：作为该组织下的业务组织角色拥有的功能权限在组织这个维度上的数据权限；二：可以基于业务组织做权限的分级管理，从上图中可以看出业务组织角色是隶属于业务组织的，从而可以很方便的做到本单位或本部门的管理员管理本部门的人和权限，而不需要专门分配专业的权限管理人员；三：作为业务系统中业务数据之一使用；四：在业务流程中可以以业务组织为基础定义出集团内部相对通用的参与者。这四个作用依据业务系统的需要进行取舍，比如可以把业务组织只当成业务数据之一来使用。24统一用户和权限管理设计|29十一月2023组织机构权限模型–角色体系权限模型基于RBAC模型扩展。业务角色、业务组织角色用于分配资源（功能、权限对象）；分组是根据业务需要将角色进行归类。业务角色：一个业务系统的业务角色，指要完成该业务系统的业务需要几种角色来完成。业务角色属于业务系统，它与业务组织没有关系。业务组织角色：业务组织角色是具体关联业务角色、业务组织机构、和人的对象，它会继承与之对应的业务角色上的功能权限，同时它也位于某个业务组织下，并且要在业务角色上分配人员。角色体系作用：1.集中控制角色权限分配方案。2.在工作流部分可以通过角色定义出与业务组织没有绝对关系的参与者，从而实现业务流程集中控制。25统一用户和权限管理设计|29十一月2023组织机构权限模型–角色体系部门休假审批人江苏省电力公司财务管理部部门休假审批人人资模块26统一用户和权限管理设计|29十一月2023组织机构权限模型–系统功能体系全面描述每个业务系统有哪些功能、有哪需要权限控制的数据休假情况查看人员基本情况查看薪酬管理新增删除修改人资模块休假申请审批27统一用户和权限管理设计|29十一月2023组织机构权限模型–相互关系28统一用户和权限管理设计|29十一月2023门户组织机构权限模型–统一展现部门休假审批人江苏省电力公司财务管理部部门休假审批人人资模块休假申请审批李四江苏省电力公司财务部主任休假情况查看人员基本情况查看业务组织单元业务模块基准组织单元业务功能业务角色业务组织角色岗位人员人资管理休假情况查看人员基本情况查看通过用户标识获取当前用户所有功能权限XX管理29统一用户和权限管理设计|29十一月2023组织机构权限模型–功能和流程部门休假审批人江苏省电力公司财务管理部部门休假审批人人资模块休假申请审批申请人申请休假申请人所在部门的“部门休假审批人”审批申请人所在单位的“单位休假审批人”审批省公司/财务部/张三李四李四设计时运行时江苏省电力公司财务部主任休假情况查看人员基本情况查看业务组织单元业务模块基准组织单元业务功能业务角色业务组织角色岗位人员30统一用户和权限管理设计|29十一月2023统一权限内新增用户的可选流程增加人员授权增加人员统一用户管理确认执行人：被修改人员所在部门的人员管理员执行内容：确认该人员可以使用哪些业务系统。用户申请使用系统授权执行人：新增人员所有所在岗位的所在部门可用系统的业务系统管理员执行内容：给新增人员授权授权执行人：新增人员可用系统的本单位的业务系统管理员执行内容：给新增人员授权执行人：申请使用的系统的本单位的业务系统管理员执行内容：给申请人员授权该流程需要事先在部门上设置各部门会使用哪些业务系统31统一用户和权限管理设计|29十一月2023统一权限内修改用户所在岗位的可选流程调整人员岗位调整授权调整人员统一用户管理确认执行人：被修改人员所在部门的人员管理员执行内容：确认该人员调整后可以使用哪些业务系统。用户申请使用系统授权执行人：被调整人员调整之前所有所在岗位和调整之后所在岗位的所在部门可用系统的业务系统管理员执行内容：给人员调整授权授权执行人：被调整人员之前可用系统和之后可用系统的本单位的业务系统管理员执行内容：给人员调整授权执行人：申请使用的系统的本单位的业务系统管理员执行内容：给申请人员授权该流程需要事先在部门上设置各部门会使用哪些业务系统32统一用户和权限管理设计|29十一月2023统一权限方案–逻辑图1.国网总部和网省及各部门管理员都通过统一用户和权限管理进行所有业务系统的授权，从国网总部和网省的授权信息逻辑上组合成一个完整的企业的权限信息。2.业务系统通过统一用户和权限管理获取当前登录用户在本系统中的权限。统一用户和权限管理业务系统管理员33统一用户和权限管理设计|29十一月202334江苏省电力公司信息化登高项目|06一月2024

国网部署结点省网部署结点国网用户网省用户统一展现层业务系统A业务系统B业务系统C业务系统D国网部署结点省网部署结点国网部署结点省网部署结点国网部署结点统一用户和权限管理资源目录国网权限管理员网省权限管理员使用业务功能权限授权业务系统E省网部署结点统一展现业务功能获取权限信息保存权限信息1.把各种部署方式的业务系统从逻辑上整合成一个业务，使得从国网角度看到全局而又简洁的业务系统。2.用户统一通过统一展现层使用所有业务系统的功能，带来： A.改善用户体验 B.可以根据业务需要在统一展现层重组业务模块划分，模糊了业务应用的边界，更易调协业务应用和实现。3.统一权限模型和权限管理流程，简化企业权限管理的工作。统一权限方案–逻辑图统一用户和权限管理设计|29十一月2023工作背景现状、问题和建议设计目标设计原则设计方案现实方案目录统一用户和权限管理设计|29十一月2023基准组织与用户业务组织体系和业务组织角色系统功能和业务角色实现方案-主要对象存储格式人员组织机构岗位角色分组业务组织机构业务组织角色业务系统业务角色业务组织体系功能权限对象数据类型数据集其它关系通过对象属性来表达部署模块部署结点权限相关信息存储在资源目录。36统一用户和权限管理设计|29十一月2023统一权限管理实现方案–与业务系统对接方式自开发业务系统（无权限、用户相关信息表）统一权限管理SAP系统获取功能和数据权限信息把角色同步到统一权限，统一权限把用户到角色的分配信息同步到SAP权限相关信息岗位SAP角色SAP系统SAP角色功能数据SAP把角色同步到统一权限统一权限把用户到角色的分配信息同步到SAP37统一用户和权限管理设计|29十一月2023统一权限管理实现方案–与SAP系统对接方式2岗位业务组织1SAP系统SAP角色1功能权限数据权限统一权限把业务组织角色、用户到角色的分配信息同步到SAP；同时调用SAP中的角色授权界面进行当前角色的功能和数据权限的授权；业务组织角色1业务组织角色2业务组织2业务组织角色21业务组织角色2XSAP角色2功能权限数据权限SAP角色21功能权限数据权限SAP角色2X功能权限数据权限1.SAP的角色也统一在统一权限中管理，可以与流程使用的角色统筹考虑。同步38统一用户和权限管理设计|29十一月2023实现方案–基准组织数据来源1.基准组织、岗位、人员将从人资模块同步。2.人资模块到统一权限由原来的自动同步改成部分变化（增、删、改）必须通过流程转和部分变化可以自动同步。3.统一权限在确认变更使变更生效后要走后续变更流程。39统一用户和权限管理设计|29十一月2023实现方案–用户数据的变更流程人资增加人员统一用户管理确认确认新增新增的人员原来在统一用户中就存在执行人：新增人员所在部门的人员管理员执行内容：确认新增的人员是否已经存在。如果存在系统把人员对应的人资管理中的ID修正即可人资删除人员统一用户管理确认处理权限（被删除人员涉及角色的各业务系统的权限管理员）确认删除不是真的删除执行人：被删除人员所在部门的人员管理员执行内容：确认删除是否真删除。如果是真删除，把该用户的状态设置成失效。人资系统修改人员属性以及人员所在部门属性不通过流程，直接同步。授权执行人：新增人员所有所在岗位的所在部门可用系统的业务系统管理员执行内容：给新增人员授权40统一用户和权限管理设计|29十一月2023实现方案–基准组织机构数据的变更流程人资增加机构统一用户管理确认人资修改机构名称和上级机构属性统一用户管理确认处理（被删除机构涉及的各业务系统的业务系统管理员）确认有删除只是简单的改名称执行人：新增机构的机构管理员执行内容：确认新增的机构是否已经存在。如果存在系统把机构对应的人资管理中的ID修正即可执行人：被修改部门的机构管理员执行内容：确认是同一个机构改一下姓名，还是把一个机构改成了另一个机构。如果是把一个机构改成了另一个机构，要分解成删除原机构、增加新机构的操作。并且在增加新增机构时还要判断新机构是否已经存在，如果存在系统把机构对应的人资管理中的ID修正即可。人资删除机构统一用户管理确认处理（被删除机构涉及的各业务系统的业务系统管理员）确认删除不是真的删除执行人：被删除机构的机构管理员执行内容：确认删除是真删除，还是只是删除一下然后还会重建同样的机构。如果是真删除，把该机构的状态设为失效。人资系统修改机构除了名称以外的其它基本属性不通过流程，直接同步。41统一用户和权限管理设计|29十一月2023实现方案–岗位数据的变更流程人资增加岗位统一用户管理确认分配岗位职责（新增岗位所在部门权限管理员）确认新增新增的人员原来在统一用户中就存在人资修改岗位名称统一用户管理确认分配岗位职责（新增岗位所在部门权限管理员）确认新增新增的人员原来在统一用户中就存在执行人：新增岗位所在部门的岗位管理员执行内容：确认新增的岗位是否已经存在。如果存在系统把岗位对应的人资管理中的ID修正即可执行人：被修改岗位所在部门的岗位管理员执行内容：确认是同一个岗位改一下名称，还是把一个岗位改成了另一个岗位。如果是把一个岗位改成了另一个岗位，要分解成删除原岗位、增加新岗位的操作。并且在增加新岗位时还要判断新岗位是否已经存在，如果存在系统把人员对应的人资管理中的ID修正即可。人资删除岗位统一用户管理确认执行人：被删除岗位所在部门的岗位管理员执行内容：确认删除是真删除，还是只是删除一下然后还会重建同样的岗位。人资系统修改岗位除了名称以外的其它基本属性不通过流程，直接同步。42统一用户和权限管理设计|29十一月2023实现方案–岗位人员分配关系的变更流程人资增加人员到岗位统一用户管理确认执行人：岗位所在部门的岗位管理员执行内容：确认新分配的人员的实际职能是否是该岗位。如果是接受分配，如果不是不接受人资从岗位上删除人员分配统一用户管理确认执行人：岗位所在部门的岗位管理员执行内容：确认被删除