1 苍穹权限体系整体介绍

苍穹权限服务以用户分配角色为授权主线，满足具有相同角色用户的共性权限集合，并支持用户直接授权与用户权限禁用支持用户个性差异的调整。

同时提供管理员分权控制策略、管理员多级管控、权限报表、权限日志等功能，覆盖企业全员应用、专业应用、业务协作、管理与汇报等应用场景。

苍穹权限体系，概况起来主要有三大部分：如何控权、如何分配、如何验权。

2 权限控制策略

2.1 权限控制模型

权限系统控制的作用对象为实体对象，对实体对象进行权限项、字段权限、数据规则、特殊数据规则的定义，再封装为角色进行使用，解决企业管理中大批量授权和集体调整权限的业务场景。

结合不同的权限控制类型（组织、渠道、体系等），实现不同权限隔离维度，以满足不同业务领域的个性化权限管控需求。

实施建议：

1、对于企业用户较多，或用户职责划分较为清晰的场景，都推荐使用角色进行授权。将不同职能需要的权限进行角色打包，然后批量对用户授权。后面对于权限的批量调整以及员工的权限审计，都是比较方便的。

2、用户授权更多是用来对员工的权限进行微调，一般不推荐通过直接授权去完成大量的授权工作。会导致授权过程复杂，同时后期也不利于批量调整相同职能员工的权限。

2.2 权限控制策略

权限控制策略提供了两种权限控制策略：超级管理控制策略和三权分立控制策略。

超级管理即虚拟管理员就一个账户，统管系统管理所有权限，管控方式比较简单直接。

三权分立控制策略的权限约束机制，即对于顶层的虚拟管理员权限，可进行分权管理，并实现分别向下进行分开授权，避免了超级管理员一权独大的风险。对于大型超大型企业，三权分立控制策略往往更适用，能较好地避免管理员权限过大的风险。

权限控制策略后续仍会持续优化，如不同分权管理员间授权过程的审计机制完善。

实施建议：

1、目前统计数据来看客户使用超级管理的控制策略居多，随着权限控制策略不断完善，后面对于授权管理有安全考虑的客户，建议升级到三权分立控制策略。

2、对于中小型企业，或者对于管理员管理没那么敏感的企业，目前仍然推荐使用超级管理策略，该方案比较成熟，管理起来也相对简单。

3、对于大型和超大型客户，或对于管理员管理权约束比较敏感的企业，建议引导客户使用三权分立控制策略，通过虚拟管理员相互制约来规避超级管理员权限过大的风险。

2.3 管理员分级管理

权限体系现在新增了管理员分级管理能力，即从超级管理员开始，支持往下分多级进行授权管理，对下级管理员的系统管理权限和业务管辖范围进行精细化约束。

对于常见的“集团 - 子集团 - 分公司 - 业务线 - 机构 - 部门”及类似的组织结构，都可以提供良好的分级管控解决方案。

并且现在子管理员支持身兼多职，可以满足下级管理兼职或分管多部门的场景需求。

实施建议：

1、新发布的管理员分级管控，推荐所有用户都可以升级使用，新增的对下级管理员的权限精细控制，对于企业安全管理而言提升比较大。

2、对于管理员分级管控在实际应用时遇到的问题，也欢迎积极向基础平台反馈优化建议，基础平台会持续优化完善。

3 权限分配模型

3.1 权限分层与继承

1、通过通用角色对企业抽象及固化权限集合进行管理，即将权限按照角色进行集合打包。

2、业务角色引用通用角色，并增加隔离维度范围，如组织范围、渠道范围、体系范围，使该业务角色具备业务属性，变成授权给用户后就可以真正做业务的角色。

3、需要注意的是，通用角色就是一些权限的集合，本身与隔离维度没有关系。业务角色按照不同权限控制类型是有隔离维度的，如组织、体系、渠道等。

典型案例：

如图所示举例，如果核算会计为一个岗位职能，假如有20位核算会计用户到岗需授权，如果按照通用角色的方式来授权，则至少需要操作3个通用角色（应付会计、出纳、总账会计），以及有权组织N个（假定是5个有权组织范围），那么操作次数至少为15次。如果要给20个用户授权核算会计权限，则需要操作15*20=300次，如果是有更多的有权组织范围需分配，更多的用户需分配，则操作就更烦琐了。

那假如用业务角色来授权呢？把3个通用角色添加到业务角色，操作3次。业务角色中分配组织范围（同样是5个组织范围），操作5次。分配给20位用户，添加用户操作20次。整个授权过程，总计操作3+5+20=28次，极大降低了管理员工作量。

所以对于业务职能和所需权限确定的的授权场景，推荐使用业务角色来进行封装，会有效减轻管理员工作压力。

实施建议：

1、对于常见企业管理场景，都建议先按照用户工作职能进行权责划分，将相关的权限设计为通用角色进行打包。后续在授权的时候就避免了总是重复去选择这些共性的权限。

2、然后依据企业管理的实际业务需求和隔离维度，比如是按组织隔离，还是按体系隔离，来创建业务角色，将共性的通用角色进行引用，叠加上隔离维度，即变成了可用于企业管理的业务角色，能直接授权给用户进行使用。

3、当然通用角色直接分配给用户也是可以的，但因为通用角色是不带隔离维度的，所以在授权的过程除给用户分配通用角色，还需为用户分配隔离维度（比如是按组织隔离，还是按体系隔离）。

4、对于确定的业务岗位职能要做授权，强烈推荐使用业务角色来授权，能有效减少管理员工作量。

3.2 角色权限查询

提供多个维度的权限查询报表，方便查询用户、角色的权限明细。

3.3 用户权限分配

1、用户授权提供多种授权方式：用户角色授权、用户直接授权、用户权限复制、用户权限补充、用户权限禁用。

2、给户分配角色授权，同时可以补充禁用权限。

3、给用户直接授权，包括功能权限、字段权限、数据规则。

4、给用户复制权限，复制项可选是否包含角色、禁用权限、直接授权权限。

5、用户实际的功能权限=（通用角色权限 ∪ 业务角色权限 ∪ 业务角色补充权限 ∪ 直接授权）- 禁用权限

实施建议：

1、用户授权更多是用来对员工的权限进行微调，一般不推荐通过直接授权去完成大量的授权工作。会导致授权过程复杂，同时后期也不利于批量调整相同职能员工的权限。

2、但有些场景适合通过直接授权来处理，比如临时想创建个测试用户，或者相对某个用户的权限进行微调，或者想要快速复制用户A的权限给用户B，这些场景都适合通过直接授权来处理，且很高效。

4 权限校验模型

1、用户访问和操作功能是按“用户+应用+控制对象+验权隔离维度（组织、渠道、体系等）”

2、苍穹的验权都是实时验权，即操作触发验权，在满足平台验权服务使用之外，还可以通过接口方式提供服务，如有二开需求或特殊场景，可具体问题具体分析。

4.1 权限校验

1、提供功能权限、字段权限、数据规则、特殊数据权限的控制粒度。

2、引入数据规则方案将常见的数据规则资料化，方便用户维护起来复用，提升授权效率。

4.2 权限控制类型

苍穹开发平台提供了丰富的表单设计能力，其中权限控制类型直接与验权维度有关。

1、通过选定权限控制类型，确定该单据要按什么维度进行验权。

2、通过授权过程给用户授权的组织范围（或者体系范围、渠道范围），决定了用户在哪些组织范围（或者体系范围、渠道范围）下可以访问该单据。

3、功能权限 + 隔离维度范围，就可以满足企业大部分灵活的业务管控场景了。

4、还有很多表单开发特性，比如全员应用、比如隐私访问等，在实施过程中可以根据具体业务场景来灵活使用。

实施建议：

1、在开发阶段，首先需按照企业管控模式或部分业务管控模式，确定权限控制类型。即是要按组织验权，还是按体系或渠道验权。

2、然后根据业务需求设计开发表单和应用，发布应用到苍穹平台。

3、根据企业管理需要，确定权限控制策略，分配好超级管理员。

4、由超级管理员进入苍穹建设管理员分级管控体系。

5、各级管理员按照各自功能权限范围和管辖范围，为用户分配业务需要的权限。按照权限控制类型，为用户灵活分配功能权限和业务范围，约束用户在哪些组织范围（或者体系范围、渠道范围）下可以操作单据。

6、用户做业务时，则按照设定好的验权逻辑和控制维度，准确校验权限，约束用户在苍穹中操作的权限范围，这样就达到了企业权限管理的目标啦。

苍穹权限体系整体介绍及实施指引

苍穹权限体系整体介绍及实施指引

恭喜您！