系统权限管理

2B产品与2C产品的一大不同之处，在于复杂的权限管理模块。2C产品基本只存在访客与会员两种模式，而2B产品，往往对角色、职能有着复杂的管控机制。Authority and Responsibility。若配合了审批功能，还要再加上流程引擎功能。权限的具体动作，只读、编辑、删除。。不同模块又采用不同的控制表。项目管理过程中，权限规则的梳理，一般是仅次于数据梳理的另一项工作量巨大而又推进缓慢的工作。放什么数据，什么人看到什么数据，未来新增、变更的权限如何管控

---

SOD(Segregation of Duty)

1. Duty Matrix, implemented by BPO+AO, 6/4 weight distribution
2. Real time implementation, any functional change，new role，new task
   1. Access application process
   2. Access granting process, based on SOD, by different execution team from implementation
   3. Yearly validation process, by AO

---

ROLE（with different controll）

1. Privilege role, with all change log
2. Business role
3. Public ID, who, when, do what

---

Team structure

1. Team1：User- line manager- SME- AO
2. Team2：Grant, by DB

---

Audit

1. Risk, to reform, led by VP
2. Compliance
3. Identify risk among rules using external resource

---

具体可参照RBAC(ROLE BASED ACCESS CONTROL)，分为了三个维度：用户、角色、权限，用户或用户组与角色是多对多关系，角色与权限也是多对多的关系。对于一个用户，不直接给人权限，而是规定role对应的task，为人赋值role。存在两张表，SOD矩阵表，及Task关系表。在实操中，权限表的维护是一项十分繁杂的工作，由流程负责人与产品负责人共同承担。看到公司大型系统的权限表，维护量之大，若没有完备严谨的管控规则，很容易失控。同时需注意规则的制定人与规则授权的执行人，原则上必须是两个独立的团队承担，以符合审计要求。