角色權(quán)限設(shè)計:以阿里產(chǎn)品為例,展開體驗分析
筆者選用阿里的兩款產(chǎn)品應(yīng)用身份服務(wù)(IDaaS)和RAM訪問控制服務(wù)進行深入的體驗分析,并從功能、結(jié)構(gòu)、交互等方面展開。
1 概述
角色權(quán)限作為大型系統(tǒng)必不可少的功能,控制著業(yè)務(wù)中各個部門用戶的權(quán)限,引導(dǎo)著業(yè)務(wù)操作,本次競品分析,選用阿里的兩款產(chǎn)品應(yīng)用身份服務(wù)(IDaaS)和RAM訪問控制服務(wù)進行深入的體驗分析。
1.1 產(chǎn)品定位
1)應(yīng)用身份服務(wù)(IDaaS)
應(yīng)用身份服務(wù)(IDaaS)是一個集中式身份管理服務(wù),為政企客戶提供統(tǒng)一的應(yīng)用門戶、用戶目錄、單點登錄、集中授權(quán)、以及行為審計等中臺服務(wù)。 IDaaS 支持 SAML、OIDC、CAS 等常見身份聯(lián)邦協(xié)議,也可以與釘釘通訊錄、AD、HR 系統(tǒng)等身份源打通,做到統(tǒng)一的身份權(quán)限管理和應(yīng)用訪問控制。
2)RAM訪問控制服務(wù)
RAM 能夠安全地集中管理對阿里云服務(wù)和資源的訪問??梢允褂?RAM 創(chuàng)建和管理用戶和組,并使用各種權(quán)限來允許或拒絕他們對云資源的訪問。
1.2 目標(biāo)人群
1)應(yīng)用身份服務(wù)(IDaaS)
阿里云為企業(yè)用戶提供的一套集中式身份、權(quán)限、應(yīng)用管理服務(wù),幫助客戶整合部署在本地或云端的內(nèi)部辦公系統(tǒng)、業(yè)務(wù)系統(tǒng)及三方SaaS系統(tǒng)的所有身份,實現(xiàn)一個賬號打通所有應(yīng)用服務(wù)。
2)RAM訪問控制服務(wù)
訪問控制(RAM)是為阿里云用戶提供身份與資源訪問權(quán)限的服務(wù)。
2 功能分析
2.1 產(chǎn)品功能概述
1)應(yīng)用身份服務(wù)(IDaaS)
2)RAM訪問控制服務(wù)
2.2 核心功能點
作為阿里云的服務(wù)內(nèi)容,在產(chǎn)品功能上,除了沒有對組織架構(gòu)實現(xiàn)很好的支持外,用戶、角色和權(quán)限都有著良好的解決方案。
2.2.1 IDaaS
2.2.2 ARM
3 結(jié)構(gòu)分析
3.1 架構(gòu)分析
兩款產(chǎn)品都采用了RBAC的設(shè)計模式:
?IDaaS
說明:用戶集合的支持,在服務(wù)的API中有支持。
RAM
3.2 權(quán)限系統(tǒng)分析
在系統(tǒng)層面,將權(quán)限分為三級:
- 一級:訪問控制,用于訪問不同的應(yīng)用系統(tǒng)。
- 二級:菜單權(quán)限、按鈕權(quán)限。
- 三級:數(shù)據(jù)權(quán)限,包括展示的數(shù)據(jù)信息,API接口數(shù)據(jù)字段。
(1)IDaaS 權(quán)限
(2)ARM權(quán)限
權(quán)限策略(Policy)相當(dāng)于傳統(tǒng)的教科書式角色,它用于描述一組權(quán)限集。
RAM 支持兩種類型的權(quán)限策略:由阿里云管理的系統(tǒng)策略和由客戶管理的自定義策略。
- 系統(tǒng)策略,統(tǒng)一由阿里云創(chuàng)建,您只能使用而不能修改,系統(tǒng)策略的版本更新由阿里云維護;
- 自定義策略,您可以自主創(chuàng)建、更新和刪除,自定義策略的版本更新由您自己維護。
RAM 角色不同于傳統(tǒng)的教科書式角色。RAM 角色頒發(fā)短時有效的訪問令牌(STS 令牌),使其成為一種更安全的授予訪問權(quán)限的方法。
4 交互分析
4.1?IDaaS 交互
4.1.1 應(yīng)用系統(tǒng)管理
說明:
- 支持不同的應(yīng)用系統(tǒng)接入權(quán)限管理服務(wù)。
- 支持維護應(yīng)用系統(tǒng)的權(quán)限、角色等。
4.1.2 權(quán)限管理
說明:
- 需要定義和維護不同的權(quán)限,支持菜單、按鈕、數(shù)據(jù)、API等權(quán)限,定義為資源。
- 支持批量的維護資源。
4.1.3 角色管理
說明:
- 支持角色信息的新建、編輯、維護。
- 支持角色關(guān)聯(lián)權(quán)限。
- 支持角色授權(quán)(關(guān)聯(lián))到個人賬戶。
4.1.4 授權(quán)管理
按賬戶授權(quán):
- 為賬戶單獨選擇權(quán)限授權(quán):勾選權(quán)限為賬戶配置不同的權(quán)限;
- 為賬戶關(guān)聯(lián)角色授權(quán):賬戶關(guān)聯(lián)角色,賬戶即可繼承角色的所有權(quán)限;
可以查看賬戶的所有權(quán)限,包括單獨配置的,和從角色中繼承的權(quán)限。
按角色授權(quán):
- 配置角色所擁有的各項權(quán)限;
- 角色關(guān)聯(lián)到賬戶;
可以查看每個角色所擁有的權(quán)限,同時可以查看哪些賬戶關(guān)聯(lián)繼承了角色。
4.2 ARM 交互
4.2.1 用戶組管理
- 通過用戶組對職責(zé)相同的RAM用戶進行分類并授權(quán),可以更加高效地管理用戶及其權(quán)限。
- 對一個用戶組進行授權(quán)后,用戶組內(nèi)的所有用戶會自動繼承該用戶組的權(quán)限。
- 如果一個用戶被加入到多個用戶組,那么該用戶將會繼承多個用戶組的權(quán)限。
4.2.2 用戶管理
RAM 用戶是一個身份實體,它通常代表您的組織中需要訪問云資源的人員或應(yīng)用程序。
創(chuàng)建用戶,并為用戶設(shè)置密碼以及認證方式。
添加用戶到用戶組或者管理角色,完成對用戶的授權(quán)。
4.2.3 角色管理
RAM 角色不同于傳統(tǒng)的教科書式角色(其含義是指一組權(quán)限集)。RAM 角色頒發(fā)短時有效的訪問令牌(STS 令牌),使其成為一種更安全的授予訪問權(quán)限的方法。
4.2.4 權(quán)限策略管理
權(quán)限策略(Policy)相當(dāng)于傳統(tǒng)的教科書式角色,它用于描述一組權(quán)限集。
RAM 支持兩種類型的權(quán)限策略:由阿里云管理的系統(tǒng)策略和由客戶管理的自定義策略。
- 系統(tǒng)策略,統(tǒng)一由阿里云創(chuàng)建,您只能使用而不能修改,系統(tǒng)策略的版本更新由阿里云維護;
- 自定義策略,您可以自主創(chuàng)建、更新和刪除,自定義策略的版本更新由您自己維護。
4.2.5 授權(quán)管理
授權(quán)管理支持為用戶、用戶組、ARM角色授權(quán),權(quán)限以權(quán)限策略為單位授權(quán)。
5 競品問題
(1)兩款產(chǎn)品在用戶(賬戶)層面管理較為簡單,由于IDaaS面向企業(yè)的應(yīng)用,ARM面向C端個人用戶,均沒有引入組織的概念管理多用戶關(guān)系。
(2)ARM由于產(chǎn)品服務(wù)的場景不同,引入了ARM角色和權(quán)限策略概念,在權(quán)限管理上更加靈活,但同時也帶來了更復(fù)雜的管理難度。
6 總結(jié)
角色權(quán)限通用的設(shè)計模式:
本文由 @檸檬燒仙草~ 原創(chuàng)發(fā)布于人人都是產(chǎn)品經(jīng)理,未經(jīng)作者許可,禁止轉(zhuǎn)載。
題圖來自Unsplash,基于CC0協(xié)議
- 目前還沒評論,等你發(fā)揮!