随着信息化的快速发展和合规管理的深入普及，企业 IT 架构正在从“有边界”向“无边界”转变，传统的安全边界逐渐瓦解，越来越多企业开始关注企业数字化风险管控的措施和手段。企业数字化身份管理需要从碎片化向集中化、从单一化向多元化、从静态化向动态化、从粗放化向精细化演进。据 IDSA《国际 2023 年数字身份安全趋势报告》显示，90% 的组织在过去一年中至少经历过一次与身份相关的泄露，比 2022 年的 84% 增加了 6% ，68% 的组织因此遭受了直接的业务影响，从而损害企业声誉。面对这样的数字化风险，企业不仅需要更为精细的身份管理，更需要有效的风险控制手段。在这种背景下，职责分离（SoD, Segregation of Duties）逐渐成为企业提升安全性和合规性的重要原则。 什么是职责分离？职责分离( Segregation of Duties，简称 SoD )是一种关键的内部控制原则，旨在通过将不同的职责和任务分配给不同的个人或部门，以减少错误和舞弊的风险。其核心理念是防止任何一个人或部门拥有足够的权限来完全控制所有关键业务流程，从而保护企业的资产和数据的完整性。SoD 的基本原理可以概括为以下几点: 职责分配:将关键任务分配给不同的人员或部门。这些任务通常包括授权、记录和审核。通过将这些任务分开，可以防止单个人员拥有过多的控制权，减少错误和舞弊的风险。(定义) 权限控制:实施严格的权限控制，以确保只有被授权的人员才能执行特定的任务。这需要结合身份和访问管理 (IAM) 系统，以动态地管理和监控权限。(管控) 相互监督:通过相互监督，确保每个任务都由不同的人员负责，并且相互之间进行监督和检查。这种相互监督机制可以及时发现和纠正错误和不当行为。(监督) 审计和监控:定期进行审计和监控，以评估 SoD 的实施效果。通过审计，可以发现和纠正内部控制中的薄弱环节，确保SoD 的有效性。(审计) 02.企业面临权限管理困境 员工职权滥用职责分离的核心目标是防止单一员工或团队拥有过多的权限，从而减少滥用权力的机会。在企业运营中，如果一个人同时负责多个关键环节，如授权、执行和审计，那么该员工就有可能通过滥用职权进行欺诈或掩盖错误。这种权力的集中无疑会为内部控制带来巨大的风险。也就是我们平时经常说起一种不合理的现象：既当裁判员、又当运动员！自己制定规则、自己执行规则，运动员成绩怎么样，自己说了算，这是明显很不合理的设计。这里的裁判员和运动员就是不相容岗位，就像审计部既要负责风险管理体系的建设运行、又要负责风险管理体系的监督，主导体系建设运行，相当于运动员，而监督职能相当于裁判员，也是明显不合理的。 业务操作模糊化随着企业规模的不断扩大和业务复杂性的日益增加，企业在面对激烈市场竞争和不断变化的环境时，优化业务流程和强化内部控制已成为提升运营效率和降低运营成本的关键战略。当不同的员工分别负责某一流程的各个环节时，每个环节都可以被独立记录和审核，确保操作的合规性和准确性。由于责任被分散在多个环节中，就会出现责任不明确的情况，导致流程的某些方面难以追踪或问题被掩盖。虽然分工能够提高操作的合规性和准确性，但也需要确保各环节的职责划分清晰，以防止操作过程中的模糊化，确保整体流程的透明和有效管理。 严格审计合规要求许多行业，尤其是金融、医疗、能源等高度监管的领域，要求企业遵守严格的合规标准。2018 年证监会发布《证券基金经营机构信息技术管理办法》（第 152 号令），第三十二条明确提出关于账号管理“最少功能、最小权限分配原则”和“对信息系统权限的定期检查与核对机制，确保用户权限与其工作职责相匹配，防止出现授权不当的情形”的监管要求。这种合规标准通常要求企业在权限管理中进行职责分离，确保不同的员工或部门分别负责关键职能，如审批、执行和审计，从而形成相互监督和制衡的机制。 03.职责分离是企业权限管理的核心原则 在企业权限管理中，职责分离不仅有助于防范潜在的安全威胁，还能有效提高企业的运营效率和管理水平。它确保各部门之间的权限分配合理，避免因权限不当分配导致的内部纠纷和操作冲突。同时，职责分离也是合规性管理的重要组成部分，特别是在金融、医疗和能源等高度监管的行业中，职责分离的实施往往是企业遵循法规要求和通过外部审计的必要条件。在实际应用中，SoD 在企业中可以通过以下几个方面来实现 业务流程优化，打造灵活用户服务策略Authing 以用户为中心，致力于为用户打造全面的自助服务体验，构建更加智能的自助服务策略。无论您是正在实施自助服务，还是需要对当前功能进行更新，采用结构化设计方法都能确保您的自助服务能够充分满足用户需求，以适应不断变化的市场和业务环境。用户自助服务允许员工自行管理诸如密码重置、访问权限请求等常规操作，无需等待 IT 部门的响应，极大减少了 IT 部门的日常工作负荷，将其从繁琐的例行事务中解放出来。并且自助服务自动化了许多常规流程，如帐户创建、权限管理和问题解决等。并且用户自助服务通常包括审计跟踪和权限控制功能性，确保每一步操作都被精确地记录和监控，从用户发起的请求到最终的授权和访问，都可以被追溯到其源头。精细化的监控机制实现了对于任何访问的可追溯性。用户审计日志能够帮助企业及时发现和解决潜在的安全漏洞，并保证其业务活动符合相关的法律法规和行业标准。企业能够建立起更为健全和可靠的安全体系，保护重要数据和资源免受未经授权的访问和不当使用。 精细化权限管理，让权限回归业务本身企业很难寄希望于构建一条一劳永逸的用户旅程，权限管理需要根据业务场景的变化而变化。Authing 提供「管理员权限」，让权限管理回归到业务本身。根据员工职责来赋予员工不同的角色权限。系统将各类权限聚合起来组成「角色」，给后台管理员（员工）赋予不同的角色，就可以控制其在系统中可接触的空间范围，确保他们「权责分明」、「不越界」。Authing 新版管理员不仅不局限于超级管理员的权限分配与管理，还支持协作管理员将自己拥有的权限继续授权，达到层层下放的授权效果，实现灵活又严谨的权限管理能力。从全局考虑数据资产，基于场景对业务流程不断进行切片细化，用数据优化、重构，推动整个商业模式，实现细粒度的权限管理，以用户为中心，实现全场景业务权限的集中化、可视化、个性化。 完善审计日志，保障企业安全合规Authing 以用户为单位，提供可视化、全局的权限视图，清晰展示每个用户在不同应用下的资源权限和关联策略，为企业提供了全面的可视化信息，帮助企业管理员轻松查看和管理员工的权限情况。 通过筛选生成多个权限视图，企业能够更轻松地进行事后审计，降低了重复低效的工作。企业不再需要手动检查每个用户在每个应用中的权限，而是可以依靠全局的权限视图来实现快速的权限管理和审计，提高工作效率，减少潜在的失误和风险，确保企业在个人信息保护相关法律和法规方面数据合规。

近日，首个国产 3A 大作《黑神话：悟空》正式在全球上线，互联网上似乎所有的热搜都集中在了它上线这件事上。截至目前，《黑神话:悟空》在各平台总销量超过 450 万份，总销售额超过 15 亿元，大幅刷新了国产游戏的历史纪录，标志着国产 3A 游戏实现了零的突破。而在昨晚《黑神话：悟空》的在线玩家人数，更是达到了一个恐怖的数值—— 211 万。这一现象不仅体现了国产游戏在技术和内容上的飞跃，也展示了游戏行业在全球范围内的影响力日益增强。随着用户数量的急剧增加，游戏行业在迎来蓬勃发展的同时，也面临着新的挑战。大规模用户基础和日益复杂的项目结构，对企业的身份管理提出了更高的要求。如何确保玩家账户的安全、如何高效管理员工的访问权限，成为了亟待解决的问题。在此背景下，游戏行业的身份需求变得更加迫切。 图片来源：游戏科学 01.游戏行业面临挑战 员工身份登录难随着企业内部应用的激增，员工们面临着越来越多的账号和密码管理压力。在日常工作中，他们需要频繁访问多个系统，每个系统都有独立的登录凭证。员工需要记住和管理众多账号密码，复杂难记或设置单一的密码容易导致安全隐患。并且登录入口众多且界面不统一，频繁切换不同应用，导致员工体验不佳。多身份源问题还可能带来安全隐患。一旦某个账号的安全性被破坏，其他系统也可能受到连带影响，进一步扩大了安全漏洞，也使得统一管理更加复杂。 权限管理工作量大在游戏行业中，企业往往面临多项目、多办公地点以及员工身份多样化等复杂局面，这导致了权限管理的极大挑战。由于无法对所有用户的访问权限和行为进行集中管理，信息孤岛与数据安全问题愈发严重。大多数企业缺乏统一的权限申请入口，导致权限开通繁琐且效率低下。员工的入职、离职及账户管理频繁，IT人员需要花费大量时间和精力处理这些事务，效率低且容易出错，缺少自动化的管理机制与功能，使得整个流程效率低下。 玩家身份数据不统一玩家的游戏登录入口多样，设备种类繁多以及社交登录方式的多元化，再加上游戏行业常有出海或拓展中国市场的需求，需要在不同地区上线符合当地法规、用户习惯的应用。但国外的登录认证产品无法全面支持中国的应用生态，也较难配合中国的合规要求。游戏会员系统之间未能实现打通，导致碎片化身份难以整合。同时，企业无法有效识别玩家的身份画像，增加了提升用户体验和进行消费洞察的难度。 02.构建身份基础设施成为企业身份管理关键步骤 集成应用至登录门户，办公更省时单点登录（SSO）是目前企业降本增效以及提升用户体验的主流选择方案。相关的安全性配置也非常重要，包括适当的会话管理、强制重新认证、定期会话失效等策略，以防止会话劫持和重放攻击。Authing 通过将多个应用集成至一个工作台，实现了单点登录的强大能力，而无需进行额外的开发工作。Authing 预集成 2000+ 应用，能帮助企业快速实现单点登录。用户只需登录一次，即可高效安全访问所有应用系统，管理员只需一处即可管理所有用户身份体系，极大地简化了繁琐的登录流程，显著提升了业务操作的效率。 超细粒度权限管控，大幅降低安全风险Authing 的统一权限管理系统实现了权限设置的集中管理，确保员工只能访问与其角色和职责相关的信息和系统，降低了未经授权访问的风险，确保公司遵循了相关的数据保护法规和内控要求。当员工入职、离职或组织架构变动时， 能自动触发管理流程并进行权限的申请、审批、开关，能有效减少管理成本，和规避漏关/错开权限带来的数据泄漏风险。并且通过 Authing，企业能将多个不同权限架构的应用轻松集成至一个统一的后台，将各应用的功能拆分为细粒度的资源，即可集中控管各应用下的资源，无需付出额外的应用对接成本。企业能够根据自己的需求创建 API、菜单、按钮等资源，定义对应资源操作（如读取、编辑等），以及被赋予权限的主体角色 （职位、项目组、部门等），几乎能涵盖市面上所有权限管理的场景。 海内外第三方登录方式，支持全球用户顺畅登录随着全球化业务的不断拓展，企业越来越需要为不同地区的用户提供顺畅而便捷的登录体验。海内外用户对登录方式的需求各不相同，如何兼顾这些差异化需求，成为企业在全球市场中竞争的一大挑战。Authing 提供 Google、Facebook、微信、支付宝等海内外应用，拥有 ISO、三级等保等认证，并且在全球多个节点进行部署，安全合规、响应快速，能帮助企业兼顾海内外业务的登录认证需求。无论用户位于何处，都能够享受到稳定、安全的登录体验。Authing 的多样化第三方登录方式不仅能够满足各地区用户的使用习惯，还极大简化了用户的登录流程，提升了用户体验。无论是你想要什么样的登录方式，都能通过 Authing 顺畅地访问应用和服务。 03.最佳客户案例：国内领先游戏企业 痛点需求 企业存在 2000+ 员工的应用登录管理和授权问题，且随着业务的不断增长，员工数量的激增，HR 团队和运维人员每天需要处理大量的账号创建、权限分配、密码重置和账号注销等任务。不仅耗时费力，而且容易出现错误。传统的员工生命周期管理方式已无法为企业提供效率和安全性的保障。一旦管理不到位，可能会导致安全漏洞和数据泄露风险的增加。 企业内有企业微信与飞书的双数据源，这种双数据源的存在却带来了不少管理难题。尤其是当企业需要将这两套系统与多个应用系统进行集成，并实现统一的身份认证和管理时，难度和复杂性进一步增加。且需集成数个应用系统与打通身份体系，通过自研打通组织架构体系、实现员工单点登录的难度较大、时间周期长，沉没成本高。 企业面临着两项关键需求：一方面，希望通过私有化部署来确保数据的安全性，防止敏感信息外泄；另一方面，要求产品具备 SaaS 化能力，以便在管理、维护和升级上享受云服务带来的便捷性和高效性。然而，传统的身份和访问管理（IAM）解决方案往往难以同时满足这两项需求。 解决方案 Authing 的单点登录（SSO）和应用市场功能，轻松实现员工使用一个账号和密码即可访问所有应用，并且统一管控身份和权限。对于企业来说，这意味着在无需任何开发投入的情况下，即可大幅提升员工的工作效率和系统的安全性。员工只需使用一个账号和密码，便能访问公司内部所有的应用系统，无论是办公软件、项目管理工具，还是其他业务应用，登录过程变得极为便捷。员工无需再为多个账号密码而烦恼，能够将更多精力集中在工作本身，从而提升整体工作效率。 Authing 通过与飞书、企业微信产品层面的打通，为企业提供身份供应，统一基于双组织架构下的不同权限不同访问级别，当员工加入公司或晋升时，可以轻松在后台实现分配和更改不同应用的权限，企业也可以在员工离职时，轻松取消、撤销所有不同平台的访问权限，保护企业数据安全，节省运维人员 80% 的工作量。 Authing 的云原生技术架构使得企业能够充分利用云计算的弹性和扩展性。企业可以轻松应对业务需求的变化，无论是玩家数量的激增，还是全球业务的快速扩展，都能够在云端灵活调整资源配置，确保系统的高可用性和稳定性。云原生架构也使得新功能的开发和部署更加敏捷，缩短了产品的迭代周期，从而帮助企业快速响应市场变化和用户需求。Authing 还支持 SaaS 模式下的私有化部署，完美兼顾了企业对云服务的便捷性和对数据安全性的高标准要求。

在 2015 年 10 月，全国首个电子合同判例在上海仲裁庭审理中，首次认可了电子合同的法律效力。这个具有里程碑意义的判例，标志着电子签名行业的新纪元，一个新的时代即将来临。而仲裁庭认可的电子合同服务由一家成立于 2014 年的公司提供，正是“法大大”。法大大是安全高效的电子合同智能签管平台，致力为企业、政府和个人提供基于可靠电子签名技术的电子文件协同签署及管理服务，构建商业契约的数字化基础能力，助力企业与社会的数智化升级。法大大为用户提供便捷、安全、合规的 SaaS 云服务，其主要产品及服务包括：电子签名和电子印章管理、合同起草协商、合同智能审核、合同协作签署、签署后的合同管理、全链路存证和出证服务等。法大大可与企业各类数字化系统、互联网平台无缝集成，实现具体业务场景与电子签的全链路数字化闭环，助力降本增效，促进业务发展。当电子签走向行业深处，法大大是如何实现内部员工管理的呢？ 01. 从纸质签到电子签，法大大依托“法律科技”赋能千行百业 从企业初创到被大家所熟知、认可，再到被各行各业广泛应用，以“法律科技”闻名的法大大，始终坚持以客户为中心，不断将自身专利技术与全球领先的前沿技术进行深度融合，围绕合同全生命周期，为用户提供一站式电子合同和电子签服务，极大地释放了电子签在企业数字化转型中的作用和价值。从传统纸质合同的协同拟定、纸张打印、手动盖章、快递邮寄、合同保存，到电子合同在线起草-智能审查-电子签约-合同管理-存证出证的全流程智能化，法大大为各行各业带来全新变革。发展至今，法大大已服务超 4000 家来自各行各业的标杆企业，超 100 家世界/中国 500 强企业。产品研发中心总经理李琳，提到了电子签名的三个主要优势。 安全性：法大大电子签名具备防篡改能力，能有效确保签署的真实性、完整性、不可抵赖性。签署过程有记录和监控，每一步操作都可追溯，确保签署行为的合法性和可验证性。 合法性：法大大产品严格依据《电子签名法》设计，并获得 ISO27001及 ISO27701 等安全认证及保险公司承保，用印过程可追溯，能有效避免萝卜章及冒签、代签等风险，为用户提供金融级安全保障。 便利性：法大大电子签不受终端限制，用户可以随时随地完成签名，大大提升了签署的灵活性。无论是跨城市、跨地区甚至跨国界，签署人都可以便捷地完成签署过程。电子签名无需纸张、打印设备和各种耗材，节省办公成本，减少对环境的影响。 0Authing + 法大大碰撞出新的火花对电子签的认可度和接受度也日益提升。安全和合规不仅是电子签产品的基本保障，更是驱动用户购买决策的核心要素之一。产品研发中心总经理李琳表示，目前法大大已经形成了一套独特的安全规范体系，其中包含了详细的产品安全设计规范、安全开发规范和运维安全规范，公司也建立了一套安全技能和意识的培训体系，让整个团队充分了解具体的安全性的把控和实践。除了产品和安全方面的优势之外，法大大在面向伙伴的生态战略布局方面的持续发力也是持续增长的核心动力。法大大的生态伙伴体系已经从过去的广泛生态演变为以客户为中心的深度生态系统阶段，与众多企业建立安全合作伙伴关系，持续关注和跟踪电子合同领域的最新发展和趋势，共同推动电子合同领域的安全发展和创新。目前的客户及合作伙伴包括：腾讯、微软（中国）、SAP、美团、携程、徐工集团、格力、中国电信、太平鸟、海底捞、保利地产等。 02.Authing + 法大大碰撞出新的火花 随着业务线的增加，法大大需要重新划分各部门的职责和权限，以确保各项工作有序进行。例如，在电子签名和合同管理方面，研发部门负责平台开发，产品部门负责功能设计，客户支持部门负责用户培训和问题解决。职责划分不清会导致技术部门和产品部门在功能开发上出现重叠，客户支持部门在用户反馈处理上与其他部门沟通不畅。随着员工数量的增加和岗位的多样化，如何有效地进行员工身份和权限管理，确保系统安全和数据隐私，成为我们关注的重点。最终，法大大想要外采一款身份管理平台来解决这一问题，简化身份验证和权限管理流程，实现自动化管理，确保系统安全性和数据隐私保护。作为国内领先的电子签厂商，法大大必须确保用户数据和系统的绝对安全。产品研发中心总经理李琳提起，“当时我们对市面上身份相关厂商进行了严格的评估，包括数据保护措施、加密技术、访问控制和身份验证机制等，以确保厂商提供的产品功能符合需求并具备足够的安全性。我们深入分析了多个潜在合作伙伴的技术和方案，Authing 的产品特别是在安全性和功能全面性上，给我们留下了深刻的印象。”法大大选择 Authing 作为合作伙伴，不仅因为其在技术上的卓越表现，还因为它能够提供一整套完整的身份管理解决方案，这对于法大大实现安全的员工身份验证和访问管理至关重要。李琳说道，“Authing 的产品不仅符合我们的所有技术和安全要求，而且在用户体验和功能全面性上也达到了我们的期望。这次合作让我们看到了未来的无限可能，我们相信与 Authing 的合作将为法大大的业务发展注入新的活力，提供更加安全、高效和优质的用户体验。”目前，法大大主要使用了 Authing 的单点登录（SSO）产品和统一权限管理系统。 重复登录太繁琐？一次登录访问所有系统Authing 的单点登录（SSO）简化了法大大员工的登录流程。在这之前，员工在访问多个系统和应用时需要输入不同的用户名和密码，这不仅耗费时间，还可能导致密码管理上的困扰。Authing 预集成 2000+ 应用，能帮助企业快速实现单点登录。用户只需登录一次，即可高效安全访问所有应用系统，管理员只需一处即可管理所有用户身份体系。在确保安全性和用户体验的前提下，为用户提供安全、便捷的登录访问体验。将多套关联账户绑定至用户唯一的手机号/邮箱，统一应用矩阵的账号体系，减少重复登录。法大大的 IT 团队与 Authing 的技术团队合作，将项目管理系统、CRM 系统等应用系统与 Authing 的 SSO 平台进行集成。每个员工的多个关联账户被绑定到其唯一的手机号或邮箱，统一应用矩阵的账号体系。管理员通过 Authing 平台集中管理用户身份体系和权限设置，确保不同角色的员工只能访问与其职责相关的系统和信息。 结合自动化权限管理，安全之上多一重便捷随着企业业务的不断扩展和复杂化，涉及资源共建共享和跨部门协同协作等，用户的角色和资源授权关系复杂且常常发生变化，企业管理员对各个系统的使用情况难以把控，数据安全需进一步强化。Authing 的统一权限管理系统实现了权限设置的集中管理，确保员工只能访问与其角色和职责相关的信息和系统，降低了未经授权访问的风险，确保公司遵循了相关的数据保护法规和内控要求。当员工入职、离职或组织架构变动时， 能自动触发管理流程并进行权限的申请、审批、开关，能有效减少管理成本，和规避漏关/错开权限带来的数据泄漏风险。当有新员工加入法大大时，HR 在 Authing 系统中添加新员工信息，系统自动触发权限申请和审批流程。项目经理根据新员工的角色和职责，为其分配相应的访问权限。员工离职时，系统同样自动触发权限回收流程，确保前员工的所有访问权限在离职当天即时失效，避免潜在的数据泄漏风险。 03.“AI + ” 时代，法大大对于行业有哪些思考？ 从最初的“互联网+”时代到如今的“人工智能+”时代，技术的融合与演进为企业带来了前所未有的发展机遇。在这个新时代背景下，企业带来了全新的发展机遇与挑战。AI 也带来了隐私数据泄露、算法偏见、对抗性攻击以及深度伪造等安全问题。面对这些挑战，法大大将不断加强数据隐私保护，确保个人信息在处理过程中得到充分保护，提高算法的透明度，以便更好地理解和监控其决策过程。同时，推动技术标准化和跨学科合作，以及持续的技术创新，将有助于解决这些安全问题，确保 AI 技术的安全、可靠和可持续发展。在电子签领域，AI 技术可在智能合同起草、合规风险管理、智能合同归档、签署过程监控和自动化审批等方面实现重要进步。AI 能够帮助企业提高效率，简化流程，推动数字化签名的进一步发展。产品研发中心总经理李琳表示，“目前正积极探索将 AI 技术应用于我们的产品和服务中，计划推出一系列 AI 原生驱动的解决方案，为用户提供更智能、高效的服务，满足不断变化的市场需求。”

近日，按照工业和信息化部《优质中小企业梯度培育管理暂行办法》（工信部企业〔2022〕63号）、《北京市优质中小企业梯度管理实施细则》要求，北京市经济和信息化局中小企业处发布了《关于对北京市2024年第二季度专精特新中小企业名单进行公示的通知，Authing 入选 2024 年第二季度"专精特新中小企业"认定。“专精特新”是指具有“专业化、精细化、特色化、新颖化”四大优势的企业。这充分体现了对 Authing 的技术、产品和服务能力的肯定，是对公司向专精特新方向高质量发展所取得成绩的高度认可。 Authing 的“专精特新”之路Authing 在发展的过程中，坚持走“专精特新”的道路，通过深耕技术领域、不断创新，逐步打造出了独具特色的身份管理解决方案。 专：Authing 专注于身份认证和管理这一核心领域，致力于为企业提供高效、安全的身份管理平台。通过持续投入研发，Authing 打造了以身份认证为核心的多种产品和服务，涵盖单点登录 ( SSO )、权限管理、用户身份认证等多个方面。专注使 Authing 能够在竞争激烈的市场中保持领先地位，为客户提供专业、定制化的解决方案。 精：Authing 追求卓越的技术实现和精细化的产品打磨。公司注重每一个细节，从产品设计到用户体验，始终以最高的标准要求自己。通过不断优化算法、提升系统性能，Authing 在保证安全性的同时，也实现了产品的易用性和高效性。精益求精的态度让 Authing 在身份管理领域树立了良好的口碑，赢得了众多企业的信赖。 特：Authing 的特色在于其灵活且强大的身份管理能力。它不仅提供传统的身份认证服务，还结合了现代化的技术趋势，推出了具有高度可定制化的身份管理平台，适用于不同行业和场景的需求。Authing 的产品能支持多种身份认证方式的同时，还能与企业的现有系统无缝集成，帮助企业实现一体化的身份管理。这份独特性使 Authing 在市场中脱颖而出，成为企业在数字化转型中不可或缺的合作伙伴。 新：创新是 Authing 不断前行的动力。在技术日新月异的今天，Authing 积极探索并应用最新的技术趋势，如人工智能、区块链等，不断推陈出新，提升产品的智能化和安全性。通过引入前沿技术，Authing 能够应对企业在数字化转型中的各种挑战，提供更为智能和前瞻的解决方案。Authing 的创新不仅体现在产品功能的升级上，更体现在对未来身份管理发展方向的深刻洞察和引领。本次审评的通过，标志着 Authing 专注细分行业领域，走“专精特新”之路，促进公司进一步实现战略目标，对未来发展具有积极意义。Authing 的“专精特新”之路，不仅是企业自身发展的重要战略，也是其为客户创造更多价值、引领行业发展的核心所在。

在构建企业级平台或复杂应用系统时，权限管理是一个至关重要的环节。它决定了哪些用户可以访问哪些资源，以及可以进行哪些操作，一个健全的权限管理架构，在确保系统正常运行的同时，也能有效防止数据泄露和非法访问，从而为企业带来可信赖的信息保障。选择合适的权限模型，不仅能保障系统的安全性，还能提升管理效率。为了满足身份管理法规要求并规避风险，企业必须清点、分析和管理用户的访问权限。然而，面对多种不同的权限模型，企业应该如何做出正确的选择呢？ 01.权限管理面临困境 权限复杂度增加，管理难度加大随着企业规模的扩大和业务的多样化，权限管理的复杂性也随之增加。不同部门、岗位、员工的权限需求各不相同，加之企业内部组织结构的频繁变动，导致权限的设置和调整变得非常复杂。管理者可能难以全面掌控每个用户的具体权限，容易出现权限交叉、权限重叠、或不必要的权限扩大，导致管理难度加大。权限的无序扩展不仅增加了管理者的工作负担，还可能导致敏感数据的泄漏和滥用风险。但传统权限管理方法无法实现细粒度的权限授予，缺乏统一的权限实体，难以贴合业务现况。 权限变更不及时，安全隐患增加企业中的权限变更往往滞后于实际的业务需求。例如，当员工离职、岗位调动或职责发生变化时，权限可能不会及时调整或撤销，导致前员工仍然拥有对敏感系统或数据的访问权限。权限延迟会增加数据泄露和系统滥用的风险。如果员工岗位调动时，权限未及时更新，新岗位的员工可能获得不必要的权限，而旧岗位的权限则可能被滥用，为企业的数据安全带来了极大的风险。 缺乏统一标准，权限管理不规范在缺乏统一权限管理标准的企业中，权限分配往往依赖于个人的判断或临时需求，导致权限设置不一致，缺乏系统性和规范性。不同部门或系统可能采用不同的权限管理方法，增加了整体管理的复杂性，也可能导致权限管理的盲点或疏漏，最终影响企业的安全性和合规性。例如，在某个部门中，员工的权限可能是根据其直接主管的判断分配的，而在另一个部门，权限分配则可能基于过去的惯例或紧急情况的需要。但差异化的权限管理方法，虽然在短期内能够满足部门的需求，但长期来看，会给企业的整体管理带来极大的复杂性。在面对权限管理中的诸多挑战时，企业引入权限模型来管理员工权限显得尤为重要。通过权限模型，企业能够更加系统化、规范化地管理和分配员工的权限，避免权限设置的混乱和不一致，提升管理效率，并有效减少安全隐患。但三种权限模型分别是哪三种？他们之间有何区别？企业应该如何选择呢？ 02.三大权限模型介绍 什么是基于角色的访问控制（RBAC）基于角色的访问控制（Role-based access control，简称 RBAC），指的是通过用户的角色（Role）授权其相关权限，这实现了更灵活的访问控制，相比直接授予用户权限，要更加简单、高效、可扩展。 当使用 RBAC 时，通过分析系统用户的实际情况，基于共同的职责和需求，授予他们不同角色。你可以授予给用户一个或多个角色，每个角色具有一个或多个权限，这种 用户-角色、角色-权限 间的关系，让我们可以不用再单独管理单个用户，用户从授予的角色里面继承所需的权限。以一个简单的场景（Gitlab 的权限系统）为例，用户系统中有 Admin、Maintainer、Operator 三种角色，这三种角色分别具备不同的权限，比如只有 Admin 具备创建代码仓库、删除代码仓库的权限，其他的角色都不具备。 我们授予某个用户「Admin」这个角色，他就具备了「创建代码仓库」和「删除代码仓库」这两个权限。不直接给用户授权策略，是为了之后的扩展性考虑。比如存在多个用户拥有相同的权限，在分配的时候就要分别为这几个用户指定相同的权限，修改时也要为这几个用户的权限进行一一修改。有了角色后，我们只需要为该角色制定好权限后，给不同的用户分配不同的角色，后续只需要修改角色的权限，就能自动修改角色内所有用户的权限。 什么是基于属性的访问控制（ABAC）？ ABAC 是一种基于用户属性、资源属性、环境属性和操作属性等多种属性进行访问控制的权限管理模型。通过将这些属性进行组合和关联，形成一个多维度的访问控制策略，实现动态的访问控制。当用户发起访问请求时，ABAC 会根据请求中的属性信息和预先定义的策略进行匹配和评估，最终决定是否允许该请求。适用于需要细粒度访问控制、权限策略需要动态调整的场景。ABAC主要包括策略定义和策略评估两个过程： 策略定义：策略定义决定了哪些用户可以访问哪些资源，以及如何进行访问控制。策略定义可以通过编写规则、表达式或脚本等方式来实现。 策略评估：当用户发起访问请求时，ABAC 的评估引擎会根据请求中的属性信息和策略规则进行匹配和计算，最终得到一个访问控制决策结果。 在系统中实现 ABAC 需要考虑到系统的架构、性能、安全性等因素。一般来说，可以将 ABAC 作为一个独立的权限管理模块集成到系统中，或者将 ABAC 的实现与现有的 RBAC 或其他权限管理模型进行结合。ABAC 基于用户、资源、环境等多种属性实现高度细粒度的权限控制，可以根据属性变化实时调整权限。适用于需要处理大量数据和用户，需要动态和细粒度管控以及确保不同租户之间的数据隔离等对数据安全和隐私保护有严格要求的场景。什么是下一代访问控制模型 （NGAC ）NGAC，即下一代访问控制。NGAC 可以实现系统化、策略一致的访问控制方法，以高精细度授予或拒绝用户管理能力。NGAC 使用图的概念以简单、集中的方式管理访问。它可以在任何组织规模下线性扩展，并且不会出现性能问题。它最大的好处是灵活性——它可以允许基于对象属性、时间、位置或任何其他标准进行访问。NGAC 的另一个独特功能是它支持实时访问，例如，它可以授予承包商对资源的一次性访问权以进行维护，然后自动撤销访问权。 面向场景 NGAC 是基于这样一个假设：你可以用一个图来表示你要保护的系统，这个图代表了你要保护的资源和你的组织结构，这个图对你有意义，并且符合你的组织语义。在这个对你的组织非常特殊的模型之上，你可以叠加策略。在资源模型和用户模型之间，定义了权限。其本质上就是创建了一个图，以对每个组织都有意义的方式对用户想要保护的资源和组织结构进行建模。基于此自定义的组织模型，管理员可以添加访问策略和权限。这样 NGAC 提供了一种优雅的方式来表示你要保护的资源，系统中的不同角色，以及如何用权限把这两个世界联系在一起。 03.我该如何选择使用哪种权限模型 在这里，组织的规模是至关重要的因素。由于 ABAC 最初的设计和实施困难，对于小型企业而言，考虑起来可能太复杂了。对于中小型企业，RBAC 是 ABAC 的简单替代方案。每个用户都有一个唯一的角色，并具有相应的权限和限制。当用户转移到新角色时，其权限将更改为新职位的权限。这意味着，在明确定义角色的层次结构中，可以轻松管理少量内部和外部用户。但是，当必须手动建立新角色时，对于大型组织而言，效率不高。一旦定义了属性和规则，当用户和利益相关者众多时，ABAC 的策略就更容易应用，同时还降低了安全风险。简而言之，如果满足以下条件，请选择 ABAC： 你在一个拥有许多用户的大型组织中； 你需要深入的特定访问控制功能； 你有时间投资远距离的模型； 你需要确保隐私和安全合规； 但是，如果满足以下条件，请考虑 RBAC： 你所在的是中小型企业； 你的访问控制策略广泛； 你的外部用户很少，并且你的组织角色得到了明确定义； 如果想要更加细粒度的权限模型，请考虑 NGAC： NGAC 通过采用一种新颖且巧妙的方法，解决了传统访问控制模型中的这些不足：它在用户提供的现有世界表示之上叠加访问策略。在 NGAC 模型中，你同样可以对 RBAC 和 ABAC 策略进行建模。在 ABAC（基于属性的访问控制）中，需要持续跟踪所有对象的属性，给管理带来了极大的负担。而 RBAC（基于角色的访问控制）虽然减少了这一负担，因为它提取了所有角色的访问信息，但这种模式容易导致角色爆炸问题，最终同样难以管理。而 NGAC 以一种紧凑、集中的方式提供了我们所需的一切，简化了管理的复杂性。下表从几个方面对 ABAC、RBAC 和 NGAC 进行了比较。 04.如何将权限模型集成至你的应用 集成 RBAC 权限模型到你的应用系统 创建角色 你可以使用 Authing 控制台创建角色：在权限管理 - 角色管理中，点击添加角色按钮：· 角色 code: 该角色的唯一标志符，权限分组内具有唯一性，只允许包含英文字母、数字、下划线 _、横线 -，这里我们填 admin。· 角色描述：该角色的描述信息，这里我们填管理员。   授权用户角色 在角色详情页面，你可以将此角色授权给用户。你可以通过用户名、手机号、邮箱、昵称搜索用户。选择用户之后点击确认，你可以查看被授权此角色的用户列表。 在后端通过用户角色控制权限 当用户成功认证、获取到 Token 之后，你可以解析到当前用户的 ID，接下来你可以使用我们提供的 API & SDK 在后端获取该用户被授予的角色，这里以 Node SDK 为例，我们同时还支持 Python、Java、C#、PHP 等语言的 SDK 。首先获取用户的被授予的所有角色列表： import { ManagementClient } from 'authing-js-sdk'const managementClient = new ManagementClient({userPoolId: 'YOUR_USERPOOL_ID',secret: 'YOUR_USERPOOL_SECRET',})const { totalCount, list } = await managementClient.users.listRoles('USER_ID')得到用户的所有角色之后，我们可以判断该用户是否具备 devops 这个角色： if (!list.map((role) => role.code).includes('devops')) {throw new Error('无权限操作！')} 创建资源上一步我们通过用户是否具备某个角色来控制权限，这种权限控制还是比较粗粒度的，因为只判断了用户是否具备某个角色，而没有判断其是否具备某个特定的权限。Authing 在基于角色的访问控制模型（RBAC）的基础上，还能够围绕资源进行更细粒度的授权。你可以把系统的一些对象抽象为资源，在这些资源上可以定义了一些操作。比如在本文的场景中，Repository、Tag、PR、Release Notes 都是资源，且这些资源都有对应的操作：· Repository：创建、删除等。· PR：开启、评论、合并等。· Tag：创建、删除等。· Release Notes：创建、阅读、编辑、删除等。 授权角色操作资源的权限Authing 还同时支持给用户、角色授权，如果用户在某个角色中，他也将继承这个角色被授权的权限。所以 Authing 既能够实现标准的 RBAC 权限模型，也能在这基础上进行更细粒度、更动态的权限控制。比如下面这个例子中，我们给 admin 这个角色授权了 repository 资源的 Create 和 Delete 权限： 在后端判断用户是否具备权限在上一步我们通过资源授权，做到了授权给某个用户（角色）对某个特定资源的特定操作权限，我们在后端进行接口鉴权的时候，就可以做更细粒度的判断了：这里以 Node SDK 为例，我们同时还支持 Python、Java、C#、PHP 等语言的 SDK 。调用 managementClient.acl.isAllowed 方法，参数分别为：· userId: 用户 ID，用户可以被直接授权特定资源的操作，也可以继承角色被授权的权限。· resource: 资源标志符，如 repository:123 表示 ID 为 123 的代码仓库，repository:* 表示代码仓库这一类资源。· action: 特定操作，如 repository:Delete 表示删除代码仓库这个操作。· options: 其他选项，可选options.namespace，资源所属权限分组 code import { ManagementClient } from 'authing-js-sdk'const managementClient = new ManagementClient({userPoolId: 'YOUR_USERPOOL_ID',secret: 'YOUR_USERPOOL_SECRET',})const { totalCount, list } = await managementClient.acl.isAllowed('USER_ID','repository:123','repository:Delete')Authing 策略引擎会根据你配置的权限策略，动态执行策略，最后返回 true 或者 false，你只需要根据返回值就能判断用户是否具备操作权限。集成 ABAC 权限模型到你的应用系统在上面介绍了如何将 RBAC 权限模型的集成方法，相信你也意识到了，RBAC 权限模型是静态的，也就是没有环境、对象属性等动态属性参与，所以很难实现类似于以下场景的访问控制：· 当一个文档的所属部门跟用户的部门相同时，用户可以访问这个文档；· 当用户是一个文档的拥有者并且文档的状态是草稿，用户可以编辑这个文档；· 早上九点前禁止 A 部门的人访问 B 系统；· 在除了上海以外的地方禁止以管理员身份访问 A 系统； ABAC 的主要组成部分在 ABAC 中，一个操作是否被允许是基于对象、资源、操作和环境信息共同动态计算决定的。· 对象：对象是当前请求访问资源的用户。用户的属性包括ID，个人资源，角色，部门和组织成员身份等；· 资源：资源是当前访问用户要访问的资产或对象（例如文件，数据，服务器，甚至API）。资源属性包含文件的创建日期，文件所有者，文件名和类型以及数据敏感性等等；· 操作：操作是用户试图对资源进行的操作。常见的操作包括“读取”，“写入”，“编辑”，“复制”和“删除”；· 环境：环境是每个访问请求的上下文。环境属性包含访问尝试的时间和位置，对象的设备，通信协议和加密强度等。 ABAC 如何使用属性动态计算出决策结果在 ABAC 的决策语句的执行过程中，决策引擎会根据定义好的决策语句，结合对象、资源、操作、环境等因素动态计算出决策结果。每当发生访问请求时，ABAC 决策系统都会分析属性值是否与已建立的策略匹配。如果有匹配的策略，访问请求就会被通过。例如，策略「当一个文档的所属部门跟用户的部门相同时，用户可以访问这个文档」会被以下属性匹配：· 对象（用户）的部门 = 资源的所属部门；· 资源 = “文档”；· 操作 = “访问”；策略「早上九点前禁止 A 部门的人访问B系统；」会被以下属性匹配：· 对象的部门 = A 部门；· 资源 = “B 系统”；· 操作 = “访问”；· 环境 = “时间是早上 9 点”。 在 Authing 中授权资源的时候指定限制条件 我们在授权资源的时候，可以指定限制条件。例如在下面的例子中，我们添加了一个限制条件：要求当前请求的用户经过了 MFA 认证。 除了 MFA 认证这个属性外，你还可以在 Authing 的策略引擎上下文中获取以下属性：· 用户对象属性，如性别、组织机构、分组、角色、邮箱是否验证、手机号是否验证、自定义数据、是否经过了 MFA 认证、用户上次 MFA 认证时间等；· 环境属性：客户端 IP、客户端 UA、客户端浏览器、请求来源国家、请求来源省份、请求来源城市等；· 资源属性：资源创建时间、资源拥有者、资源标签等；你可以根据这些属性组成灵活的策略授权语句。集成 NGAC 权限模型到你的应用系统NGAC 是最好的一种模型。选择 NGAC 的理由其实和选择图数据库还是关系型数据库上做对比。为什么选择图数据库？因为业务是不断变化的，这就导致了数据模型是经常变化的，用关系型数据库需要不停变更元字段、关联关系和查询语句以匹配业务需求，而用图模型只需要改变两个数据之间的连接关系，如下所示： 同样是表示一种多层级关系，用图数据库是符合人类的直觉的，而用关系型数据库，却需要建多个表做联合查询。不管是 RBAC 还是 ABAC 都是关系型数据库的关联关系模型，而 NGAC 是跳脱出关联模型的图模型，这也是为什么 NGAC 被称作下一代访问控制。虽然 NGAC 模型已经很好，但以上所有这些模型都有一个致命的缺陷 —— 没有计算能力。而 OPA 是具有计算能力的 NGAC 模型。OPA 就是遵循同样理念的，对权限模型重新设计的权限编程语言。他既有 NGAC 的表现能力，又有 Prolog 的计算能力。Authing 将 OPA 作为决策引擎，改善自适应认证、自适应 MFA 和持续认证能力，底层模型全面改由 OPA 支撑，并为用户提供 Rego 编程语言达到完全定制化的权限模型定义和计算。Authing IDaaS 提供基于 OPA 引擎的 RBAC & ABAC 权限管理模型，既可以管理业务中的实体资源，也可以管理数据、API、菜单、按钮等细颗粒度权限控制。不仅如此，Authing IDaaS 完善 OPA 计算监控、请求监控、决策监控、决策设计器、代码编写，覆盖决策和决策计算的全生命周期，成为下一代决策引擎和风控引擎。

在当今数字化时代，用户登录是每个应用程序和网站的重要环节。登录和注册，是所有系统与应用的第一步，也是企业给用户的“第一印象”——通过品牌化的登录界面，能够强化用户对企业的认知；而顺畅的登录体验及舒适的 UI，能更好的留住用户。一个高效、安全、用户友好的登录系统，不仅能提升用户体验，还能保护用户数据和企业资源。然而，许多开发者认为构建一个完善的登录系统需要耗费大量时间和精力。有没有一种平台，当系统需要更换登录方式时，不用再花费大量时间完全替换原有的登录表单，能对同企业下不同应用的登录样式进行统一而不需重复开发，以节省时间，去做更针对业务、更核心的内容？其实，只需两行代码，你就可以轻松构建一个完善的登录系统，让登录框也能玩出花样。 01.开发一个登录认证框，远比你想象的更麻烦 许多开发者在最初设想时，认为开发一个登录认证模块只是简单的几个步骤：设置一个登录框，验证用户名和密码，然后允许用户访问系统。然而，实际的开发过程远比这复杂得多，涉及到大量的工作和细节处理。你想象的开发量在你想象中，开发一个登录认证模块可能只是以下几个简单步骤：1、创建一个登录框：设计一个简单的用户界面，用户可以输入他们的用户名和密码。2、验证用户凭证：编写一个验证逻辑，检查输入的用户名和密码是否正确。3、授予访问权限：如果验证成功，允许用户访问系统。看起来似乎非常简单，可能只需要几小时的编码工作。然而，这只是冰山一角，实际开发过程远不止这些。 实际的开发量然而，实际的开发过程远比这复杂得多，涉及到大量的工作和细节处理。开发者不仅需要接入多种登录方式，还需配置复杂的认证流程，设计用户友好的前端样式，并确保系统在高并发情况下的稳定性和性能优化。如用户名和密码登录、社交媒体登录（如 Google 、Facebook 登录）、单点登录（ SSO ）等，每种方式都需要单独的集成和配置。并且用户体验至关重要，设计一个简洁、美观且用户友好的登录界面需要投入大量精力。响应式设计需要确保登录页面在各种设备和屏幕尺寸下都能良好显示。对于一个大型的应用矩阵来说，可能有多个子系统和微服务，每个系统都需要独立的登录认证模块。这意味着需要重复进行上述所有工作，增加了开发和维护的复杂性。每个子系统的登录模块可能有不同的需求和特性，开发者需要确保这些模块在各自的环境中都能无缝集成和运行。 02.灵活自定义，打造极致登录体验 企业可以借助 Authing ，快速集成多种登录方式和安全认证机制，简化开发过程，提升系统的安全性和用户体验。并且 Authing 提供的 1000+ API 和丰富的文档支持，可以帮助开发者高效完成登录认证模块的开发和维护，确保系统的合规性和可靠性。同时，品牌化作为 Authing 最为注重的模块之一，给用户提供了非常强大的自定义功能。下图为全局登录配置概览。 Authing 控制台内部的所有品牌化配置都会被该用户池下未开自定义登录框功能的应用所读取。 样式配置 整体样式整体样式适用于一次认证、二次认证、信息补全等应用登录 / 注册全程。管理员可以在 整体样式 页面自定义登录 / 注册页背景、加载图标、登录框版本、显示语言、CSS 等。 自定义背景管理员可以将登录框展示背景设置为纯色，或者上传图片，以图片为背景。上传图片时，确保图片大小不超过 2M 。 自定义加载图标管理员可以在此模块自定义登录框加载时展示的图标。要删除当前加载图标，只需点击选框，确定删除。 默认语言定义登录框的显示语言：1、跟随系统：登录框显示语言和登录后的应用系统语言可能不同。管理员可以设置登录框显示语言跟随应用的系统语言，从而提升用户登录体验。2、简体中文、繁體中文、English、日本語 切换语言管理员可以通过切换语言开关定义是否在登录框底部显示语言切换选项，从而用户可以自定义登录框显示语言。如果该开关关闭，则用户无法自定义登录框显示语言。此时，界面显示语言为管理员在默认语言中配置的。 自定义 css自定义 css 可以对托管登录页实现更加细致的控制，以便符合用户对于登录页的预期。通过自定义 css 可以对登录框进行一些高级自定义样式定制，如修改背景颜色： .authing-guard-layout {background: gray;}要通过自定义 css 配置个性化登录框，需要在 整体样式 标签页打开 自定义 css 开关。 自定义 css 有以下注意事项：尽量控制指定 css 生效范围，其生成规则是依赖最后一级路由。如只针对登录页面样式，可在所有 css 选择器前添加 .login ，如 /login 页面 则添加 .login。 尽量指定要修改的 guard 渲染节点，常见渲染节点如：.g2-view-login.g2-view-register.g2-forget-password.g2-need-help...如下图.g2-view-login 这个类名表明 guard 处于登录节点。携带这个类名作为前置的选择器，其样式只会在登录节点生效。 具体的 css 类名可以在 Authing 的登录界面通过 Chrome 控制台查看，需要自定义样式的 dom 标签都提供了固定的类名，不能使用带有 hash 的类名，因为会经常变化。尽量精确选择元素。如果 dom 层级很深，建议使用 复制 selector 并配合前面第一、二条的前置选择器使用。 Guard 为更好的服务用户一直在保持迭代以及功能的扩展。在这一发展过程中可能会存在 dom 结构调整以及类名弃用等情况。如果影响了用户自定义 css 相关，可联系我们开发人员进行 css 调整。常规登录所谓的 常规登录 指的是密码登录和验证码登录。本章节会介绍只适用于常规登录的 忘记密码、企业账号登录、社交账号登录 隐藏 / 显示开关。 忘记密码管理员可以在此定义是否在登录框显示忘记密码 组件。开启后，用户在忘记登录密码时可以通过点击此按钮，重置密码登录。 企业账号登录企业账号登录 隐藏 / 显示开关作用的前提是已添加并启用了第三方企业登录方式。否则即便该开关开启，也无法在登录框显示企业账号登录入口。管理员可以在此定义是否在登录框显示其他企业账号登录入口。开启后，用户可以使用其他企业应用账号登录。在 Authing 控制台中，企业身份源包含两类：办公应用（比如飞书、企业微信、钉钉）与标准协议应用（比如 OIDC、SAML、CAS 等标准协议），你可以通过配置企业身份源连接，实现使用第三方身份源登录 Authing 应用 及从第三方身份源导入组织机构和用户。 社交账号登录社交账号登录 隐藏 / 显示开关作用的前提是已添加并启用了第三方社交登录方式。否则即便该开关开启，也无法在登录框显示社交账号登录入口。管理员可以在此定义是否在登录框显示第三方社交账号登录入口。开启后，用户可以使用第三方社交账号登录。在 Authing 控制台 (opens new window)，目前一共支持国内外将近 20 余种社会化登录，比如个人微信、腾讯 QQ、Facebook、Google、Twitter 等。 扫码登录Authing 支持用户通过移动端扫码来登录。除了使用移动端 APP 扫码，还可以使用移动端第三方企业身份源或者社会化身份源扫码。管理员可在此配置是否开启企业账号登录和社交账号登录。开启后，用户在扫码登录页可见。企业账号登录和社交账号登录同上。功能配置 登录注册协议用户注册时，需要让用户了解并同意你的服务条款，从而帮助你规避法律风险。为此，Authing 提供登录注册协议功能。 要开启此功能，执行以下步骤：1、在品牌化 -> 功能配置 -> 登录注册协议模块点击右上角添加按钮。下方打开协议添加面板。勾选 显示位置。2、选择注册协议适用的界面语言。3、配置协议内容。4、点击 保存 按钮保存当前配置。配置完成后就可以在注册界面看到该注册协议。用户在登录 / 注册时需要查看和勾选你所配置的服务条款和隐私条款等内容。 登录注册信息补全 用户在登录和注册时通常需要提供手机号 / 邮箱等个人信息。除了这些常规个人信息，管理员可以指定用户补全特定信息才能完成登录 / 注册，用以作业务数据的收集。管理员可以在控制台 品牌化->功能配置->登录注册信息补全 模块指定要补全的信息（即字段）。 要配置待补全的信息，执行以下步骤：1、选择信息补全开启位置：注册时信息补全或登录时信息补全。2、指定用户在登录 / 注册时，是否可以跳过补全窗口。· 若允许跳过开关开启，则在用户登录补全时，补全窗口右上角呈现跳过按钮，用户可以点击按钮跳过补全。· 若允许跳过开关关闭，则补全窗口不会出现 跳过 按钮。3、在登录注册信息补全模块点击右上角添加 按钮添加待补全的字段。打开添加字段弹窗。4、选择待补全的字段分类：用户基础字段、用户扩展字段。· 管理员可以在 设置->字段管理 查看用户基础字段和用户扩展字段。· 管理员仅可编辑用户基础字段，不可增加和删除。5、指定当前待补全字段是否必填。· 开启是否必填后，用户登录 / 注册时必须补全必填字段。· 若补全信息在用户登录 / 注册时已提供（如手机号、邮箱），则无论该补全信息是否被指定为必填，不会出现在补全窗口，即只有当前为空的字段才会出现在补全窗口。6、选择待补全字段。· 字段名与分类 联动，数据源与设置 -> 字段管理中的用户基础字段列表和用户扩展字段列表同步。· 若补选信息为用户扩展字段，需在 字段管理 菜单提前配置。· 选定字段后，自动带出下方表单类型，与字段管理中该字段的数据类型一致，不可修改。7、指定校验规则，包含两个选项：· 不校验· 正则表达式：输入下方正则表达式及错误提示信息（必填）。8、点击保存。· 可以在补全字段列表点击目标字段所在行操作列相应按钮对当前字段进行编辑、删除。· 对于已创建的补全字段，点击编辑按钮，只能修改是否必填及校验规则。

在这个日新月异的数字时代，互联网如同一张无形的网，将世界的每一个角落紧密相连。从远程办公到在线教育，从在线购物到智慧城市，网络空间已成为我们生活不可或缺的一部分。然而，随着网络活动的日益频繁，如何确保网络空间的安全、有序，保护每一位网民的合法权益，成为了全球共同面临的课题。近日，我国公安部、国家互联网信息办公室等研究起草了《国家网络身份认证公共服务管理办法（征求意见稿）》（以下简称《办法》），并向社会各界公开征求宝贵意见，旨在建成国家网络身份认证公共服务平台，形成国家网络身份认证公共服务能力，为社会公众统一签发“网号”“网证”。这一举措，不仅标志着我国在构建网络空间治理体系、提升网络安全防护能力方面迈出了坚实的一步，也体现了国家对网络身份认证这一关键环节的高度重视。在网络身份认证领域，企业该如何在这一新政策背景下，助力共筑数字安全长城呢？ 01.为什么要统一签发“网号”“网证”？ 大幅减少信息泄露风险早在 2012 年，《全国人民代表大会常务委员会关于加强网络信息保护的决定》就有提到网络实名制，要求“网络服务提供者为用户办理网站接入服务，办理固定电话、移动电话等入网手续，或者为用户提供信息发布服务，应当在与用户签订协议或者确认提供服务时，要求用户提供真实身份信息”。随着《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国反电信网络诈骗法》等法律法规的完善，个人信息和数据安全的保障已经基本到位，技术保障能力也大幅提高。国家推出了统一认证的机构、统一的信息存储平台，也就是“网号”“网证”制度，也可以理解成每个人在互联网上也有身份证。在统一的“网证”制度下，单个平台无法获取用户个人信息，能大幅减少信息泄露的风险。 有效打击电信诈骗在统一的身份认证制度下，对于电信诈骗者可以全网封禁其网证，杜绝其更换平台、手机号复活的机会，有利于打击电信诈骗。如果一个用户的“网证”被发现用于非法活动，相关机构可以全网封禁其网证，彻底杜绝其通过更换平台或手机号复活的机会。这种全网联动的封禁机制，使得电信诈骗者无处遁形，大大提升了打击电信诈骗的效率和效果。例如，一个电信诈骗者如果在平台 A 上被发现并封禁，其“网证”也会在平台 B 、平台 C 等其他所有平台上失效。这种全网封禁机制，能迅速遏制诈骗活动，减少潜在的诈骗行为。 0全球视角下的网络身份认证化时代，网络身份认证已成为日常生活和商业活动中不可或缺的一部分。随着个人信息在网络身份认证过程中被广泛收集和使用，数据保护的重要性也日益凸显。为了有效防止数据泄露和滥用，确保用户隐私权益不受侵害，必须对网络身份认证过程中收集的个人信息实施严格保护。《办法》中强调对网络身份认证过程中收集的个人信息实施严格保护，防止数据泄露和滥用，维护用户隐私权益。鼓励采用先进技术手段提升网络身份认证的安全性、便捷性和准确性，如区块链、生物识别等技术的应用。 02.全球视角下的网络身份认证 0企业对于身份管理需求迫在眉睫为数字时代的“通行证”，其重要性不言而喻。它不仅是保障个人隐私、维护网络安全的第一道防线，也是促进数字经济健康发展、推动社会治理现代化的关键要素。近年来，各国纷纷加强网络身份认证体系的建设，通过技术创新和制度完善，不断提升网络空间的安全性和可信度。欧盟发布相关规定，聚焦跨国数字身份互认。欧盟也推出了《通用数据保护条例》（GDPR），不仅规定了严格的数据保护措施，还强调了用户对其个人数据的控制权。此外，欧盟还实施了电子识别、认证与信任服务（eIDAS）法规，推动跨境电子识别和认证服务的发展。日韩推出各类“数字政府”计划，深度挖掘政府身份云价值。韩国政府在 2020 年推出了“数字新政”，其中包括了 IDaaS 的应用，以提升政府服务的数字化水平。韩国政府通过与国内外领先的 IDaaS 提供商合作，实现了多因素认 证和单点登录，提高了政府服务的安全性和用户体验。日本政府在 2019 年启动了“数字政府行动计划”，通过 IDaaS 技术实现了政府服务的数字化转型。日本的“我的号码”系统为公民提供了统一的数字身份，方便公民通过一个身份 认证访问多项政府服务，提升了行政效率和用户体验。随着网络身份认证体系的不断加强，身份管理的重要性也日益凸显。身份管理不仅涉及用户身份的验证，还包括身份的创建、维护、监控和销毁等一系列过程，构成一整个高效、健全的身份管理体系，有效防止身份滥用和数据泄露，确保用户信息的安全和隐私。根据权威调查机构 Business Research Insights 预测，全球身份管理市场将以高于 12%年复合增长率，从 2022 年的 148 亿美元增长到到 2028 年的 280 亿美元。这说明身份管理已在全球范围内受到广泛关注，同时，随着大模型等技术的不断发展，身份安全问题也将持续扩大身份管理领域的关注度将进一步提高。 03.企业对于身份管理需求迫在眉睫 随着“网络身份证”政策的逐步实施，企业对身份管理的需求变得更加迫切。身份管理不仅是保障企业信息安全的核心环节，也是提升运营效率和用户体验的重要手段。企业必须积极应对这一趋势，构建健全、高效的身份管理体系。 加强身份认证能力企业在当今数字化环境中，面对日益复杂的安全威胁和不断变化的技术需求，必须加强技术投入，以提升身份认证能力，建立一个更为强大、灵活的身份认证体系，从而有效保护用户数据和企业资源。持续自适应多因素认证（CAMFA）是一种动态的安全机制，通过持续监测用户行为和上下文信息，来动态调整认证方式和强度，以确保用户身份的真实可靠性。CAMFA 不同于传统的多因素认（MFA），它在整个用户会话期间不断评估用户的行为和环境变化。Authing 持续自适应多因素认证通过全方位扫描和分析用户身份和行为，采用无监督学习方式，深度学习用户的特定行为模式（例如登录时间、习惯、设备、生物特征等），以主动发现合法账号是否受到非法使用的威胁。在自适应多因素认证（基于上下文属性判断当前安全状况以增加因素认证）的基础上增加了实时风险评估技术对用户进行动态评估安全系数。 建立全面身份管理体系身份认证只是身份管理的一部分，企业还需要建立全面的身份管理体系，覆盖身份创建、维护、监控和注销等各个环节。一个完整的身份管理体系，能够确保用户身份的全生命周期管理，提供一致性和可靠性的身份验证服务。通过自动化工具和流程，企业可以实现对用户身份的实时监控和管理，及时发现和应对异常情况，提升整体的安全水平。身份自动化 Workflow 能力是 IDaaS 平台的关键组件，基于事件驱动架构，满足用户目录、组织架构、登录认证和安全管理的灵活配置需求。其设计理念包括事件驱动架构，实现灵活的任务调度和执行，确保实时性和可靠性。Authing 身份管理平台采用低代码/无代码设计，提供可视化、拖拉拽的配置方式，帮助企业快速构建和管理身份管理流程，降低开发成本。可视化工作流编排界面允许用户通过拖拽组件和配置参数，快速实现身份管理工作流的构建和管理。 确保数据安全合规Authing 具备国家密码管理局商用密码检测中心颁发的《商用密码产品认证证书》，支持使用国密 SM1、SM2、SM3、SM4 等加密方式，保护企业数据资产安全。并且 Authing “基于云原生架构的统一身份认证管理”解决方案入选金融信创实验室优秀解决方案。Authing 统一身份与权限管理平台是一套基于云原生架构的高安全、高可用、开发性强且自主可控的企业级全场景身份与权限治理解决方案，能够灵活应用于各行业 IT 管理、权限管理、 IT 审计、安全风控、AD 替换等多种场景，不仅支持飞腾、鲲鹏、C86、兆芯、麒麟等多种芯片，还支持主流国产操作系统和浏览器客户端使用，支持 X86、ARM 等架构。

随着业务上云、生态协作、多云混合等场景涌现，过往以防火墙为边界的身份与访问控制遭遇了新的挑战。如何打通云上与本地系统的身份体系，对内部员工和外部合作伙伴的账号、权限、行为进行统一管控，打破企业多个业务应用的数据孤岛，建立全面的身份画像，为用户提供更为顺畅和精准的服务，成为云原生时代新的安全需求。其中，云原生身份云服务（Identity as a Service，IDaaS）作为云计算创新应用领域，已在各行各业中展现出巨大潜力，成为现化身份管理和安全保障的关键。 01.数字环境变化，需求推动 IDaaS 发展 传统的身份管理无法满足企业数字化转型背景下业务快速扩展的需求，基于多云场景的身份管理需求价值凸显。随着远程办公的普及和数字工作环境的扩大，越来越多的员工采用移动设备进行工作，企业数据与个人应用程序共享同一设备空间，导致关键数据的所有权变得模糊不清。Statista 数据显示，截至 2023 年，全球移动设备用户已超过 50 亿，物联网设备数量预计将在 2024 年达到 260 亿台。与此同时，移动设备的安全状态变得更加难以预测，传统的终端管控手段变得难以应对这种新形势。动态变化的网络威胁需要更强大、更集中的安全方法，IDaaS 可以提供多因素身份验证、威胁情报和实时访问监控等高级安全功能，可以帮助企业抵御日趋复杂的网络威胁。Gartner 数据显示，到 2025 年，70% 的企业愿意采用 IDaaS 作为企业身份云解决方案。 全球移动设备数及物联网设备数规模（亿） 02.中国 IDaaS 市场有巨大潜力 随着企业对安全性和合规性的需求不断增长以及云原生技术的广泛应用，企业更倾向于采用云原生的 IDaaS 解决方案，以满足不断变化、需要灵活扩展的业务需要。云计算的普及应用导致无边界的办公需求不断增长，推动了 IDaaS 的高速发展。据 MarketsandMarkets 预测，中国 IDaaS 市场规模预计将从 2022 年的 4.7 亿美元增长到 2028 年的 16.2 亿美元，复合年增长率为 25.3%，这一预测显示 IDaaS 技术在中国市场拥有巨大潜力和增长空间。 图片来源：MarketsandMarkets 03.全场景构建云原生 IDaaS 平台 从零建设云原生 IDaaS如果您是没有建立身份和访问管理（IAM）系统或身份即服务（IDaaS）平台的企业，Authing 可以为您提供从零构建云原生 IDaaS 平台的全面支持。构建云原生的 IDaaS 平台需要考虑诸多因素，包括安全性、可扩展性、 灵活性和用户体验等。Authing 云原生 IDaaS 平台帮助您定义业务需求和目标，明确的平台功能需求，如身份认证、访问控制和用户管理，并确保提高安全性、提升用户体验和降低成本成本。Authing 采用现代化技术栈，适合云原生开发，包括容器化技术（如 Docker）、编排工具（如 Kubernetes）、微服务架构和服务网格等。同时，Authing 支持主流认证协议，如 OIDC、OAuth2、SAML 和 CAS 协议，保证兼容性和安全性。集成现有的身份存储系统（如 LDAP、Active Directory 等）是关键一步。Authing 提供强大的集成功能，确保与其他云服务和应用程序的无缝对接，实现统一的身份管理和访问控制。在实施监控和运维方面表现出色，通过配置监控和日志记录，实时监控身份认证和访问控制的运行状态，并利用自动化运维工具，确保系统的稳定性和可靠性，定期评估系统性能和用户反馈，帮助企业持续进行优化和改进。Authing 云原生 IDaaS 平台遵循合规性要求，确保平台的安全性和隐私保护符合相关法律法规和行业标准，如个人信息保护法、等保要求和 GDPR 等。并且为管理员和用户提供培训和支持，确保他们能够正确使用和理解 IDaaS 平台，提高用户的认知度和接受度。 图为 IDaaS 身份云服务通用构建流程 从传统 IAM 迁移到 IDaaS许多企业已经基于传统架构建立了自己的身份与访问管理系统，随着企业的组织规模的持续扩大等业务发展和自身的壮大，企业信息安全的维度和边界变得越来越复杂，需要借助大量应用系统进行日常的管理运营，其这就构成了相对复杂的 IT 系统环境，随之而来传统 IAM 的劣势逐渐暴露企业普遍面临登录安全、账号管理和应用权限管理等问题。IDaaS 服务可以为企业用户解决这种登录和身份的融合问题。从传统 IAM 系统迁移到基于云迁移的 IDaaS 平台是一个棘手但有效的方式。Authing 技术团队将协助企业评估现有 IAM 系统，进行功能和需求分析，确定当前系统提供的功能和服务，包括身份认证、访问控制、单点登录、多账户认证、审计和报告等。重写评估现有系统的性能、稳定性和扩展性，识别潜在的瓶颈和需要改进的地方。接下来，Authing 将帮助企业确定迁移目标和业务需求，明确迁移至 IDaaS 平台的优先级，例如提升安全性、简化管理、支持云原生应用等。通过详细的业务需求分析，确定 IDaaS 平台需要支持的功能和性能要求，确保新平台能够满足企业的实际需求。在制定迁移计划和策略时，将与企业合作，制定详细的迁移阶段、时间表、资源分配、风险管理和回滚计划。同时，确定迁移策略，确保用户数据、权限配置、审计日志等重要数据的完整性和安全性。在数据迁移和应用认证迁移过程中，验证制定开始的迁移策略，确保业务连续性，尽量减少对现有系统和客户体验的影响以下是具体的迁移措施： 数据自动化同步能力新建 IDaaS 平台需要可以从现有的 IAM 系统进行自动化数据同步，包括 API 接口，数据库，LDAP 协议，自动化脚本等多种方式。通过首次的全量数据同步初始化，到增量数据定时或实时同步，在现有 IAM 系统完全下线之前，保持数据自动化同步能力。 应用双通道实现应用认证稳步迁移。搭建测试环境对接测试应用，或者是在应用上增加新的认证通道，实现一个应用对接现有 IAM 平台和新建 IDaaS 平台，通过不同的认证方式对用户进行惰性迁移。 从 AD/LDAP 迁移到 IDaaS有的企业已经使用了微软 Active Directory（AD）或轻量级目录访问协议（LDAP）服务来搭建自己的用户身份管理平台。为避免出现"卡脖子"情况，政策倡导企业逐步迁移至国产信创的应用系统，以建立自主可控的基础软件体系。并且传统的 AD 和 LDAP 系统通常是在本地部署和管理的，随着企业的扩展，管理这些系统变得越来越复杂和繁琐。从传统 AD 或 LDAP 迁移到 IDaaS 平台可以带来更灵活、安全和易于管理的身份认证和访问控制解决方案。 顺应国产信创趋势，零成本迁移 AD 目录数据至 Authing ，实现灵活安全的统一身份认证管理体系，支撑企业未来 5-10 年的业务扩张。Authing 专业技术团队会详细评估现有 AD/LDAP 环境的功能和使用情况，包括用户管理、设备管理、组织管理、群组管理、身份认证和访问控制等，同时评估现有系统的性能、稳定性和扩展性，确定是否存在瓶颈或需改进之处，帮助企业实现从传统 AD 或 LDAP 系统到云原生 IDaaS 平台的顺利迁移，从而实现更高效的身份管理和系统运维，提升企业的安全性、灵活性，同时简化管理和降低成本。AD 系统迁移到 IDaaS 平台是一个相对漫长的过程，Windows 操作系统对于 AD 的依赖性较强，除了身份及设备管理相关功能外，还包括组策略，软件补丁管理，CA 证书及 DNS 服务等很多其他功能，所以在迁移过程中会出现长期共存的情况。如下是具体的迁移路径： 阶段一AD/LDAP 作为主身份源，将所有的数据同步到新建 IDaaS 平台。应用认证由原有的 AD 切换到 IDaaS 认证服务。 阶段二当原有的数据全部同步到新建 IDaaS 平台后，IDaaS 平台将作为 SSOT（Single Source of Truth），实现身份数据的一致性和准确性。AD/LDAP 将作为下游存在，由 IDaaS 平台将所需要的用户、组织、群组等数据自动化同步到 AD/LDAP 平台。 通过以上步骤和考虑因素，您可以有效地从传统的 AD/LDAP 环境迁移到现代的 IDaaS 平台，实现更灵活、安全和高效的身份认证和访问管理解决方案。这种迁移不仅可以提升企业的 IT 运营效率，还能够支持未来的业务增长和云原生应用的部署。 针对 IDaaS 进行安全加固针对已有 IDaaS 平台进行安全加固是确保身份认证和访问管理安全性的关键步骤。随着企业数字化转型步入“深水区”，网络安全威胁也日益增加。企业的身份认证和访问管理系统成为黑客攻击的重要目标，如果不采取有效的安全加固措施，企业面临的风险将大大增加，数据泄露的风险不断上升。企业的 IDaaS 平台管理着大量敏感的用户信息，包括员工、客户和合作伙伴的个人数据。一旦这些数据被泄露，企业将面临严重的法律和财务后果，同时对企业声誉造成不可估量的损害。通过对 IDaaS 平台进行安全加固，可以有效保护这些敏感数据，防止未经授权的访问和数据泄露。Authing 致力于提供 IDaaS 平台安全加固措施，确保企业在其 IDaaS 平台上享有安全可靠的身份认证和访问管理安全性。Authing 持续自适应多因素作为下一代多因素安全认证平台被推出，能够分析用户登录和使用行为，有效识别风险，自动配置合适的 MFA 策略，在风险出现时拉起二次认证，全面提升安全风控能力。它在自适应多因素认证（基于上下文属性判断当前安全状况以增加因素认证）的基础上增加了实时风险评估技术对用户进行动态评估安全系数。在时间维度上，持续自适应多因素认证在用户整个使用旅程中持续不断的对其进行信任评估，以决定是否需要增加额外的认证流程。这样做的好处就是企业的安全得到实时监控，而用户只会在进行风险操作时被提示需要进行额外的认证。单点登录（SSO）是目前企业降本增效以及提升用户体验的主流选择方案。相关的安全性配置也非常重要，包括适当的会话管理、强制重新认证、定期会话失效等策略，以防止会话劫持和重放攻击。Authing 通过将多个应用集成至一个工作台，实现了单点登录的强大能力，而无需进行额外的开发工作。用户只需完成一次登录，即可安全高效地访问所有被授予权限的应用系统，这极大地简化了繁琐的登录流程，显著提升了业务操作的效率。 实践案例：某省级教育厅需求痛点 随着信息技术的迅猛发展，教育信息化建设已成为教育改革发展的重要战略任务。大力推进教育信息化基础设施建设。通过构建高效、稳定的数字化基础设施，为教育信息化的深入发展奠定坚实基础。为加快推进教育数字化转型，教育厅印发关于教育领域数字化改革工作方案，提出构建数智驱动的教育治理新格局。 传统的身份认证和访问管理（IAM）系统难以满足教育信息化发展的需求，存在运维成本高、扩展性差、安全性低等问题。因此，亟需构建一套基于云原生技术的数字教育身份基础设施，实现身份统一管理、安全高效认证和精准授权控制。 教育厅需积极响应国家教育数字化战略，基于云原生技术，构建全省教育中枢大脑，打造统一的数字教育身份基础设施，实现组织、用户、应用权限和身份认证的一体化管理，有效推动了教育信息化发展，赋能教育治理新模式。 解决方案浙江省教育厅采用云原生技术架构，构建统一的数字教育身份基础设施。包含以下核心组件： 身份认证中心：提供统一的身份认证服务，支持多种认证方式，如用户名密码、短信验证码和生物识别等。整合全省教育系统用户身份信息，建立统一的身份标识体系，实现用户身份的集中管理和共享。无论用户位于哪个教育机构或使用哪种设备，都可以通过统一的身份认证中心进行安全登录和访问，确保用户身份的唯一性和可靠性。 授权管理中心：基于角色、属性等多维度进行授权控制，实现对用户、应用和资源的精准访问控制。满足教育信息化管理的精细化需求。无论是教育管理者、教师、学生还是家长，都能通过这一平台便捷地访问所需的教育资源和服务。权限和身份的集中管理将显著提高系统的安全性和管理效率，减少管理的复杂性和成本。 审计中心：记录用户访问行为，提供详尽的审计日志，支持多维度查询和分析，为教育信息化安全运营提供强有力的支撑。通过对用户行为的实时监控和日志记录，审计中心可以及时发现并应对潜在的安全威胁和违规操作。管理员可以通过审计日志了解系统的使用情况，识别异常活动，确保系统的安全性和稳定性。如果您想要了解更多内容，请扫描二维码下载《云原生身份云 IDaaS 技术与发展白皮书》！在这份白皮书中，您将会得到更详细的技术解读和发展趋势分析。 扫描二维码，下载白皮书

  在数字化和智能化时代，企业在管理用户身份和权限时常常面临各种挑战。企业以往采用传统的管理方法，例如逐个邀请添加新员工，已经不再是操作繁琐、耗时耗力的问题，而是随着企业人才的生命周期管理的加快，传统的人工管理办法已经跟不上企业人才变化的生命周期速度，要求企业能够更高效、更灵活的进行身份管理流程。而随着远程办公的普及和数字工作环境的扩大，企业需要确保只有授权的人员能够获得关键数据和敏感信息，同时也要保证操作的便利性和便捷性。有效的身份管理不仅仅是保障信息必要的手段，更是提升协同效率和管理技巧的要素。针对这一问题，Authing 全新上线用户邀请功能支持多种场景，能满足国内外多数 SaaS 场景下的通用邀请能力。 01.Authing 用户邀请功能首次推出 Authing 提供线下分发邀请链接/二维码，用户自助申请加入。Authing 用户邀请功能能够满足无论是 To B 还是 To E 场景下，实现更定制化的需求。 分批次和策略发送邀请邮件给受邀人，受邀人加入后，管理员无需再次手动配置权限/部门等； 可使用「名单」分批次、批量发送邀请邮件，管理员可以通过「策略」自定义不同批次受邀人的邀请注册流程、加入后默认所属部门/角色/用户组等； 未来迭代版本将支持区分租户来管理邀请名单的能力，满足更多 To B 特殊场景；本次更新将支持管理员通过多种方式邀请新用户： 通用邀请：当管理员未知新用户的联系方式（邮箱）时，可以在「通用邀请」页面生成并复制邀请链接，该链接可以通过多种渠道（如社交媒体、通讯内部工具或公司网站）发送给新用户，新用户只需点击链接即可完成加入。且用户池中的普通用户也可以生成并复制邀请链接，邀请新用户，极大地简化了用户邀请的流程，使得任何授权用户方便地扩展团队。 策略邀请：国内「首个」推出全新的用户邀请方式，企业可以根据自身业务需求及场景，设定特定的邀请策略，满足复杂场景的个性化邀请策略自定义，确保每个新用户能够快速、准确地加入相应的团队或系统，为企业在处理复杂的用户邀请场景中提供了极大的灵活性。针对不同的部门、项目组或合作伙伴，管理员可以创建定制化的邀请模板，应用不同的邀请策略，甚至精细化到邀请方式、访问权限、角色分配等方面。当管理员拥有新用户的联系方式（邮箱）时，可使用「策略邀请」功能，将批量导入新用户邮箱、关联自定义的邀请策略后，对名单中的的受邀人批量发送邀请邮件。 02.功能亮点 灵活用户邀请方式在不同场景下，管理员可能不知道新用户的联系方式或者需要批量邀请新员工。在这种情形下，传统的邀请方式不再有效，无法通过邮件或信息发送给新用户。企业可以在 Authing 平台的「通用邀请」页面生成一个通用邀请链接。这个链接可以复制并通过各种渠道（如社交媒体、内部通讯工具或网站）发送给新用户。新用户只需点击该链接，即可进入设定好的部门，管理员甚至无需知晓新用户的联系方式。 简化身份权限配置在企业扩展或进行大规模部署时，手动邀请和管理大量新用户耗时且容易出错，从而影响系统的安全性和用户使用体验。Authing 的策略邀请功能允许管理员在发送邀请之前，预先设置好新用户加入后的权限和部门信息。通过策略邀请功能，管理员可以批量发送邀请邮件，且用户加入后自动配置权限和部门，减少了管理员的工作量和错误率。当新用户通过邀请邮件完成注册并加入系统后，Authing 会自动根据预设的策略，为新用户配置相应的权限和部门，确保每个用户权限设置准确无误，并且配置文件中不会出现错误。 高效批量用户管理大量新用户批量加入应用系统之后，他们分散在不同部门和目录中，如果没有一个管理工具，管理员很难核实他们的状态和情况。管理员不仅需要逐个核对每个新用户的情况，还需要确保正确分配给相应的部门和文件夹。Authing 的快捷查询，正是为了解决这问题。管理员通过快捷查询可以查看新用户和激活状态，跟踪哪些用户已经完成激活流程，哪些用户值得进一步的跟进和处理。针对不同新用户的情况，管理员可以进行进行必要的调整和处理，适应不同规模和复杂度的企业需求。管理员无需手动逐个核实用户信息，可以批量处理新用户，极大节省了时间和精力，提高了整体工作效率。 03.如何设置用户邀请功能？ 通用邀请设置通用邀请链接 支持设置邀请链接有效期； 支持设置新用户加入用户池后所属部门； 支持开启管理员审批功能，开启后，新用户提交加入申请后需要管理员在「申请列表」中同意后方可成功加入。若关闭，则视为系统同意申请，可直接加入； 点击「生成邀请链接」，将根据上方的设置生成链接和二维码： 「全部重置」后，当前管理员生成的邀请链接将全部失效： 设置普通用户邀请链接 开启后，即可在业务系统页面添加按钮等交互模式，供用户生成邀请链接使用； 邀请页面 点击通用邀请链接，将跳转上方页面，需要填写姓名和邮箱申请加入； 「申请加入」提交并通过审批后将收到欢迎邮件，包含：登录地址、登录账号、初始密码等信息； 管理员可前往「邀请管理-通用邀请-申请列表」审批新成员的加入申请。在列表管理员可查看申请人的名称、邮箱和邀请人、审批人、审批结果等； 策略邀请名单管理 在名单管理页面，支持创建名单； 名单的受邀人列表中，支持手动添加/文件导入受邀人及邮箱； 关联策略后即可批量发起邀请，详情见下文； 策略管理 策略管理列表，支持管理员创建、编辑、删除策略； 支持创建副本，方便进行策略版本管理等； 策略配置完成后，可以与名单关联，支持查看关联名单列表、解除关联等；关联名单与策略 在「名单-关联策略」页面操作： 在「策略-关联名单」页面操作： 发起邀请 在名单详情页，可对当前整个名单内的受邀人发起邀请，受邀人将收到邀请邮件； 身份验证： 补全信息（需要补全的信息由管理员定义）： 成功加入： 快捷查询根据受邀人名称查询支持通过受邀人名称、邮箱等，快速查询并定位受邀人所在名单、状态等；

中国自 2001 年加入世界贸易组织（WTO）以来，开启了经济全球化的新篇章。随着关税壁垒的降低和贸易便利化措施的实施，中国企业迅速融入全球市场，并在国际舞台上崭露头角。直到现在，出海已经成为全球许多企业的重要发展战略，中国企业更是抓住机遇，推进全球市场互联互通，大力拓展海外业务。现阶段中国企业的新一波“出海潮”是符合全球经济发展规律的现象，同时中国企业面对新的机遇和挑战也需要有新的突破。中国企业出海面临怎样的困境？ 01.企业出海面临现状 难以统一管理所有员工身份随着企业业务的扩展，管理不同用户群体的权限和访问控制变得越来越复杂，特别是在跨国业务中。跨国业务由于业务架构、技术能力、区域法规等多种客观因素的差异，以及员工、经销商、供应商、上下游合作伙伴等角色各不相同，各地区可能基于自身业务架构和管理需求独立建设数字化体系，同时各自独立维护各类数字化应用系统以及管理复杂的身份体系。导致在内部形成一个个独立的数字化孤岛，重复损耗建造、维护、迭代成本，难以打通各系统数据，无法统一管理各地区员工身份和应用系统数据。 跨境身份认证复杂在全球范围内管理和认证用户身份是一项复杂的任务，尤其是当企业需要同时支持多个身份提供商（如 Google、 Facebook 等）时，每个身份提供商使用的认证方式和协议不同，企业面临研发周期长，影响产品的上线时间和市场推广速度。各国之间身份验证方法差异大，从简单的用户名密码到复杂的多因素认证，企业需要一种能够适应多种环境的灵活安全的身份认证方案。同时，跨平台身份认证涉及大量用户数据的传输和存储，必须高度重视数据的安全性和隐私保护。 不同的法律法规要求数据作为数字经济中的一种生产要素，其价值与整个数字商业生命周期息息相关，数据资产已成为一种新型资产。不同国家和地区对数据隐私和保护的法律法规不尽相同，如 GDPR（通用数据保护条例）、CCPA（加州消费者隐私法）等。涉及多个司法管辖区的商业活动的跨境性质无疑增加了这些问题的复杂性和敏感性，需要充分考虑跨境商业活动所涉及的司法管辖区的相关法律和法规，对可能存在的风险隐患及时检测评估，以确保双向合规，从而避免法律风险。传统的企业选择在不同的国家和地区建立和维护自己的数据中心和 IT 基础设施，以管理员工、合作伙伴和客户的身份信息。但这些系统往往是分布式的，无法统一管理，并且需要大量的资金与时间投入，增加了运维成本。现如今，企业可以在各种“出海”路径中选择成本最低、效率最高的方式。如何选择一位好的“出海”伙伴至关重要。 02.Authing 是“出海”最佳伙伴 随着云原生身份云 IDaas 技术的发展与成熟，让企业告别了过去笨重、繁琐的出海配置，大大节省了企业“出海”的流程与成本，“出海”得以变得轻盈起来。而 Authing 是中企“出海”的最佳伙伴，可以为客户的不同业务阶段提供定制化的云解决方案，从新出海阶段的基础云服务和 IDaaS 应用，到业务扩展阶段，全方位地满足客户的数字化需求。 细粒度身份权限，保障信息安全与审计合规集团或企业的管理，本质上是对人的管理，在数字化时代同样如此。不同的是，数字化时代的身份不仅包含人的身份信息，也包括终端设备和系统等。同时，信息安全是企业管理的核心。企业提前部署下一代身份基础设施，即基于云的身份管理与访问控制系统（IDaaS）。IDaaS 提供身份验证、授权、访问注册的统一身份中台，能够同时管理企业内部应用和 SaaS 应用，通过打通云上与本地系统的身份体系以及 OneID 能力，实现对集团内部员工和下游子公司员工、外部合作伙伴等角色的身份、权限、数据进行统一管控。不仅如此，Authing IDaaS 还提供强大的权限编排能力，实现集团及子公司全业务场景权限管理覆盖。Authing IDaaS 还提供完善的组织内用户行为审计日志，来满足集团安全合规需求。 下一代安全认证解决方案——持续自适应多因素认证在企业出海过程中，安全性和风控管理是最重要的挑战之一。为了应对这一挑战，Authing 推出了下一代安全认证解决方案——持续自适应多因素认证（CAMFA）。通过持续不间断地分析用户登录和使用行为，有效识别风险，自动配置合适的 MFA策略，在风险出现时拉起二次认证，全面提升安全风控能力。Authing 的持续自适应多因素认证尤其适用于企业出海时面对的复杂多变的安全环境，确保了企业在跨国运营中能够灵活应对不同地区的安全威胁，提高整体安全性。Authing 持续自适应多因素认证通过全方位扫描和分析用户身份和行为，采用无监督学习方式，深度学习用户的特定行为模式（例如登录时间、习惯、设备、生物特征等），以主动发现合法账号是否受到非法使用的威胁。在自适应多因素认证（基于上下文属性判断当前安全状况以增加因素认证）的基础上增加了实时风险评估技术对用户进行动态评估安全系数。在时间维度上，持续自适应多因素认证在用户整个使用旅程中持续不断的对其进行信任评估，以决定是否需要增加额外的认证流程。 2000+ API/SDK ，构建全场景身份体系Authing 提供了 2000+ API 和 SDK 支持多种编程语言，包括 JavaScript、Python、Java 等，能够自由地集成和扩展身份认证功能，一站式聚合全场景身份体系。无论是开发全新的应用，还是在现有系统中添加身份认证功能，Authing 都能提供无缝的集成体验。并且 Authing 具备兼容 OAuth、SAML 、OpenID Connect 等多种技术标准和协议的能力，确保企业能够在不同的技术环境中顺利进行身份认证。无论是本地化应用还是全球化部署，Authing 都能提供一致且高效的身份认证服务，确保在全球范围内都能顺利进行身份认证。 多项安全认证，为数据安全保驾护航Authing 具备国家密码管理局商用密码检测中心颁发的《商用密码产品认证证书》，支持使用国密 SM1、SM2、SM3、SM4 等加密方式，保护企业数据资产安全。Authing “基于云原生架构的统一身份认证管理”解决方案入选金融信创实验室优秀解决方案。Authing 同时入选 Gartner 网络安全成熟度曲线和网络安全领域推荐供应商。并且近期 Authing 联合中国信通院云大所等多家单位发布《云原生身份云 IDaaS 技术发展与应用白皮书》。白皮书将从市场综述、技术发展、应用痛点、发展路径与挑战等多个维度展开分析，帮助读者全面了解 IDaaS 技术的核心价值和未来机遇。 扫描二维码，下载白皮书