文章是基于業(yè)務(wù)中臺(tái)多租戶權(quán)限管理設(shè)計(jì)的整體方案，筆者梳理了后臺(tái)系統(tǒng)權(quán)限管理設(shè)計(jì)的一般方法、需要解決的問(wèn)題以及總結(jié)了具體的設(shè)計(jì)方案。

一、后臺(tái)系統(tǒng)中權(quán)限管理設(shè)計(jì)的一般方法

在設(shè)計(jì)后臺(tái)系統(tǒng)（如：CRM、EPR、EHR、電商管理后臺(tái)等）時(shí)，權(quán)限管理是必不可少的功能，絕大部分的后臺(tái)系統(tǒng)都是處理企業(yè)業(yè)務(wù)流程的，會(huì)涉及到多個(gè)部門的協(xié)同合作，必然需要對(duì)每個(gè)能夠使用系統(tǒng)的用戶進(jìn)行權(quán)限管理。

在一般的單體應(yīng)用的后臺(tái)中權(quán)限管理的大體模式如下：

整體的業(yè)務(wù)邏輯如下：

1. 系統(tǒng)中的菜單、頁(yè)面、按鈕、字段以及運(yùn)行時(shí)產(chǎn)生的數(shù)據(jù)都需要注冊(cè)成為系統(tǒng)資源；
2. 系統(tǒng)資源打包組合成為角色；
3. 角色可以關(guān)聯(lián)用戶，也就完成了資源授權(quán)給用戶的處理
4. 角色可以關(guān)聯(lián)用戶組，而用戶組是多個(gè)用戶組合而成的一個(gè)集合，用戶能夠繼承用戶組關(guān)聯(lián)的角色

而在系統(tǒng)運(yùn)行時(shí)，任何一個(gè)用戶在使用系統(tǒng)資源時(shí)，都需要進(jìn)行授權(quán)校驗(yàn)，也就是看這個(gè)用戶關(guān)聯(lián)的所有的角色囊括的資源是否包涵當(dāng)前要訪問(wèn)的資源，如此就完成了用戶權(quán)限管理的控制。

你沒(méi)有看錯(cuò)，所有的單體應(yīng)用的權(quán)限管理的實(shí)現(xiàn)邏輯都是如此。

但在基于業(yè)務(wù)中臺(tái)的基礎(chǔ)之上去做權(quán)限管理的設(shè)計(jì)我們需要額外引入更多的概念（租戶、應(yīng)用實(shí)例等）以完成業(yè)務(wù)邏輯。

二、基于業(yè)務(wù)中臺(tái)的多租戶權(quán)限設(shè)計(jì)需要解決的問(wèn)題

所有中臺(tái)建設(shè)的目的都是為了業(yè)務(wù)快速且低成本創(chuàng)新，絕大部分的企業(yè)基于中臺(tái)都會(huì)開(kāi)發(fā)大量的業(yè)務(wù)應(yīng)用，一般基于業(yè)務(wù)中臺(tái)的架構(gòu)如下圖：

從圖中可以看到，在中臺(tái)之上有針對(duì)各個(gè)業(yè)務(wù)開(kāi)展的各種應(yīng)用，而筆者所在的企業(yè)是一家中臺(tái)標(biāo)準(zhǔn)產(chǎn)品的廠商（即把中臺(tái)作為基礎(chǔ)設(shè)施的SaaS廠商），更是加入了多租戶的機(jī)制以滿足不同客戶對(duì)應(yīng)個(gè)性化的需求。

在基于中臺(tái)的多租戶、多應(yīng)用的場(chǎng)景下，我們做權(quán)限管理的設(shè)計(jì)面臨如下主要問(wèn)題：

1. 在出廠時(shí)需要提供特殊的初始化權(quán)限管理流程；
2. 對(duì)于購(gòu)買SaaS產(chǎn)品的客戶而言，權(quán)限需要集中進(jìn)行管理，以減少運(yùn)營(yíng)人員的工作內(nèi)容；
3. 對(duì)于不同的角色/場(chǎng)景有不同的權(quán)限管理的需求。

三、具體的設(shè)計(jì)方案闡述

在解決以上問(wèn)題之前我首先介紹下我們公司的整體產(chǎn)品架構(gòu)：

業(yè)務(wù)中臺(tái)是我們所有應(yīng)用的基礎(chǔ)設(shè)施，我們能夠通過(guò)MPC 配置各個(gè)應(yīng)用所需要的業(yè)務(wù)能力，把業(yè)務(wù)能力組合起來(lái)就能形成一個(gè)應(yīng)用，如此我們實(shí)現(xiàn)了業(yè)務(wù)中臺(tái)的能力復(fù)用以及快速支撐業(yè)務(wù)創(chuàng)新。

在這個(gè)業(yè)務(wù)模式中，應(yīng)用均是通過(guò)配置在進(jìn)行一定的前端頁(yè)面開(kāi)發(fā)形成，我們可以為每個(gè)租戶生產(chǎn)其所需要的應(yīng)用實(shí)例，租戶下的數(shù)據(jù)是隔離的。

在客戶購(gòu)買我們整個(gè)標(biāo)準(zhǔn)產(chǎn)品后（包括業(yè)務(wù)中臺(tái)、MPC、BOC以及預(yù)置應(yīng)用），首先我們?cè)贛PC中預(yù)置了一個(gè)root賬戶，通過(guò)該賬戶我能夠創(chuàng)建租戶，并為租戶實(shí)例化應(yīng)用，在實(shí)例化應(yīng)用的同時(shí)，為該租戶生成在該應(yīng)用實(shí)例下的租戶管理員。

租戶管理員能夠進(jìn)入BOC進(jìn)行全局的權(quán)限管理，例如：他能在該租戶下創(chuàng)建用戶，并設(shè)置該用戶能夠登錄的應(yīng)用；他能為租戶下的任一應(yīng)用實(shí)例創(chuàng)建角色，并把該角色分配租戶下的用戶。

租戶管理員管理權(quán)限的模式如下：

整體業(yè)務(wù)邏輯：

1. 系統(tǒng)初始化時(shí)，需要生成root賬號(hào)，該賬號(hào)由系統(tǒng)預(yù)置所有資源權(quán)限
2. root賬號(hào)能夠創(chuàng)建租戶，并為租戶實(shí)例化應(yīng)用
3. 實(shí)例化應(yīng)用的時(shí)候需要為租戶生成租戶管理員并賦予租戶管理員該應(yīng)用實(shí)例的管理員權(quán)限（管理員角色為應(yīng)用預(yù)置）

以上是解決出廠初始化時(shí)的特殊的權(quán)限管理處理邏輯。

租戶管理員能夠在全局管理（BOC）中管理租戶下的用戶信息，并能夠?yàn)橛脩絷P(guān)聯(lián)應(yīng)用及應(yīng)用中的角色；

原型示意圖

租戶管理員能夠在全局管理中管理每一個(gè)應(yīng)用實(shí)例中角色；

具有應(yīng)用實(shí)例權(quán)限的用戶能夠進(jìn)入應(yīng)用，并創(chuàng)建該應(yīng)用實(shí)例下的用戶、角色。

四、總結(jié)

以上就是我在基于業(yè)務(wù)中臺(tái)多租戶下權(quán)限管理設(shè)計(jì)的整體方案，租戶是在SaaS模式下隔離數(shù)據(jù)使用，在數(shù)據(jù)層面有自己的獨(dú)立空間；

應(yīng)用實(shí)例指的是租戶數(shù)據(jù)空間中運(yùn)行的應(yīng)用；用戶是使用系統(tǒng)的直接對(duì)象，其能夠使用資源是由其關(guān)聯(lián)的角色決定；資源指的是系統(tǒng)中的菜單、頁(yè)面、按鈕、字段以及運(yùn)行時(shí)產(chǎn)生的數(shù)據(jù)。

理清這些概念后即使是再?gòu)?fù)雜的系統(tǒng)我們進(jìn)行權(quán)限管理設(shè)計(jì)也是不在話下。

對(duì)應(yīng)上內(nèi)容如有異議，歡迎大家隨時(shí)與我探討。

本文由 @keeliu　原創(chuàng)發(fā)布于人人都是產(chǎn)品經(jīng)理?，未經(jīng)許可，禁止轉(zhuǎn)載。

題圖來(lái)自 unsplash，基于 CC0 協(xié)議