熊億民 中國(guó)移動(dòng)通信集團(tuán)福建有限公司手機(jī)動(dòng)漫基地系統(tǒng)支撐室經(jīng)理

4A系統(tǒng)結(jié)合工單系統(tǒng)實(shí)現(xiàn)授權(quán)關(guān)系可視化處理

熊億民 中國(guó)移動(dòng)通信集團(tuán)福建有限公司手機(jī)動(dòng)漫基地系統(tǒng)支撐室經(jīng)理

4A管理系統(tǒng)作為安全管理及運(yùn)維工作的支撐手段，實(shí)現(xiàn)集中化的賬號(hào)管理，統(tǒng)一認(rèn)證、集中授權(quán)以及操作審計(jì)。本文介紹了當(dāng)前4A系統(tǒng)在實(shí)現(xiàn)賬號(hào)授權(quán)中存在的潛在不一致問(wèn)題，并設(shè)計(jì)通過(guò)賬號(hào)授權(quán)變更的對(duì)象化處理、可視化處理實(shí)現(xiàn)對(duì)權(quán)限變化進(jìn)行檢查、審計(jì)，進(jìn)行數(shù)據(jù)稽核，提高賬號(hào)管理的精細(xì)化管理。

4A系統(tǒng) 授權(quán)關(guān)系 可視化 對(duì)象化

1 4A系統(tǒng)賬號(hào)授權(quán)管理現(xiàn)狀

4A管理系統(tǒng)作為安全管理及運(yùn)維工作的支撐手段，實(shí)現(xiàn)集中化的賬號(hào)管理，統(tǒng)一認(rèn)證、集中授權(quán)以及操作審計(jì)。4A管理系統(tǒng)提供電子化流程滿足安全管理和日常運(yùn)維用戶、賬號(hào)、授權(quán)的需求。

當(dāng)前申請(qǐng)人員通過(guò)工單系統(tǒng)填寫申請(qǐng)單，描述說(shuō)明賬號(hào)授權(quán)的變更內(nèi)容。根據(jù)工單系統(tǒng)中設(shè)置的工單運(yùn)轉(zhuǎn)流程執(zhí)行審批過(guò)程。在工單系統(tǒng)中完成處理后工單通過(guò)接口推送至4A管理系統(tǒng)中，發(fā)送給相應(yīng)的賬號(hào)管理員，賬號(hào)管理員根據(jù)工單內(nèi)容，在4A管理系統(tǒng)中完成賬號(hào)授權(quán)管理的具體維護(hù)操作。

在當(dāng)前技術(shù)框架下，工單申請(qǐng)審批由工單系統(tǒng)完成，賬號(hào)授權(quán)變更通過(guò)4A管理系統(tǒng)推送至資源。在此管理過(guò)程中需要保障申請(qǐng)內(nèi)容與最終執(zhí)行過(guò)程一致性，但實(shí)際運(yùn)維過(guò)程中存在以下的困難和風(fēng)險(xiǎn)：

（1）由于賬號(hào)授權(quán)申請(qǐng)和流程導(dǎo)入以描述方式體現(xiàn)，存在描述不清、理解偏差、執(zhí)行有誤的風(fēng)險(xiǎn)。

（2）由于賬號(hào)授權(quán)變更申請(qǐng)與執(zhí)行在不同支撐系統(tǒng)間完成，目前缺少對(duì)申請(qǐng)與實(shí)際執(zhí)行情況的審計(jì)與驗(yàn)證機(jī)制，對(duì)執(zhí)行結(jié)果與申請(qǐng)要求的一致性無(wú)法自動(dòng)化進(jìn)行稽核驗(yàn)證管理。

（3）沒(méi)有建立主賬號(hào)為視角的相關(guān)賬號(hào)授權(quán)變更關(guān)聯(lián)操作，無(wú)法獲得主賬號(hào)周期內(nèi)權(quán)限變化過(guò)程“軌跡”，不便于對(duì)于賬號(hào)授權(quán)變化梳理，不便于賬號(hào)授權(quán)一致性的審計(jì)。

2 解決方案概述

針對(duì)上述管理過(guò)程中的實(shí)際問(wèn)題，設(shè)計(jì)后述解決方案進(jìn)行改進(jìn)與優(yōu)化。該方案結(jié)合4A系統(tǒng)與工單系統(tǒng)功能，通過(guò)使賬號(hào)授權(quán)關(guān)系處理對(duì)象化，實(shí)現(xiàn)賬號(hào)授權(quán)管理可視化。

目前工單系統(tǒng)中具有以附件形式進(jìn)行提交申請(qǐng)內(nèi)容的支撐功能，利用該流程，以附件方式提交對(duì)象化的權(quán)限變更數(shù)據(jù)，當(dāng)工單系統(tǒng)執(zhí)行完畢后導(dǎo)入4A管理系統(tǒng)時(shí)，賬號(hào)管理員根據(jù)對(duì)象化的賬號(hào)授權(quán)變更對(duì)象信息執(zhí)行具體變更操作。4A管理系統(tǒng)周期性對(duì)于賬號(hào)授權(quán)變化進(jìn)行稽核操作，以賬號(hào)為視角跟蹤周期內(nèi)賬號(hào)授權(quán)變化的申請(qǐng)和執(zhí)行過(guò)程，驗(yàn)證當(dāng)前狀態(tài)是否與各個(gè)操作執(zhí)行結(jié)果是否一致。

3 授權(quán)關(guān)系可視化實(shí)現(xiàn)詳述

為實(shí)現(xiàn)賬號(hào)授權(quán)變更申請(qǐng)與執(zhí)行過(guò)程的可視化處理（見(jiàn)圖1），首先需要確定賬號(hào)授權(quán)變更對(duì)象模型，設(shè)計(jì)“賬號(hào)授權(quán)變更對(duì)象表”，表中確保涵蓋賬號(hào)授權(quán)變更所有申請(qǐng)內(nèi)容；其次需要建立賬號(hào)授權(quán)工單申請(qǐng)?zhí)幚硪?guī)范，即在申請(qǐng)人提交賬號(hào)授權(quán)申請(qǐng)工單時(shí)必須提交“賬號(hào)授權(quán)變更對(duì)象表”，后續(xù)針對(duì)表中所申請(qǐng)和變化的對(duì)象內(nèi)容進(jìn)行審核、審批過(guò)程；再次工單系統(tǒng)對(duì)于處理完成的工單系統(tǒng)自動(dòng)推送至4A管理系統(tǒng)時(shí)，同時(shí)將“賬號(hào)授權(quán)變更對(duì)象表”推送至4A管理系統(tǒng)，4A管理系統(tǒng)提取對(duì)象表中對(duì)象信息，形成自身系統(tǒng)中的賬號(hào)授權(quán)變更執(zhí)行數(shù)據(jù)并完成操作；最后4A系統(tǒng)基于賬號(hào)視角統(tǒng)計(jì)權(quán)限變更情況。

在上述流程處理過(guò)程中，采用異步差量算法實(shí)現(xiàn)對(duì)數(shù)據(jù)的一致性稽核：

在實(shí)際生產(chǎn)中因?yàn)閿?shù)據(jù)量較大，對(duì)單個(gè)工單數(shù)據(jù)的提取和對(duì)比是比較耗時(shí)的，因此在優(yōu)化時(shí)，采用對(duì)數(shù)據(jù)的異步差量算法從歷史數(shù)據(jù)中提前差異數(shù)據(jù)（見(jiàn)圖2）。

圖1 結(jié)合工單系統(tǒng)實(shí)現(xiàn)賬號(hào)授權(quán)管理對(duì)象化處理過(guò)程

圖2 賬號(hào)授權(quán)管理的一致性稽核

表1 主賬號(hào)導(dǎo)入變更對(duì)象表

（1）確立變更對(duì)象

根據(jù)當(dāng)前賬號(hào)權(quán)限管理現(xiàn)狀，納入工單管理流程對(duì)象化處理的主要包括主賬號(hào)變更申請(qǐng)、從賬號(hào)變更、主從賬號(hào)授權(quán)管理流程，根據(jù)每項(xiàng)管理流程確立具體對(duì)象信息，固化形成“賬號(hào)授權(quán)對(duì)象變更表”。以下以主賬號(hào)導(dǎo)入、從賬號(hào)導(dǎo)入、主從賬號(hào)授權(quán)導(dǎo)入為例說(shuō)明變更對(duì)象。

●主賬號(hào)導(dǎo)入對(duì)象變更表

主賬號(hào)導(dǎo)入對(duì)象示例如表1所示。

●從賬號(hào)導(dǎo)入對(duì)象變更表

從賬號(hào)導(dǎo)入對(duì)象示例如表2所示。

●主從賬號(hào)授權(quán)導(dǎo)入變更對(duì)象表

主從賬號(hào)授權(quán)導(dǎo)入對(duì)象示例如表3所示。

在確立各種賬號(hào)管理流程對(duì)應(yīng)具體變更對(duì)象后，以EXCEL格式形成變更對(duì)象表，用于作為附件在工單系統(tǒng)中進(jìn)行導(dǎo)入。

（2）導(dǎo)入變更對(duì)象

在對(duì)賬號(hào)權(quán)限變更管理流程進(jìn)行分析后，將賬號(hào)權(quán)限變更管理的各種描述說(shuō)明轉(zhuǎn)化為賬號(hào)權(quán)限屬性對(duì)象化的說(shuō)明，可將相應(yīng)對(duì)象化說(shuō)明的屬性直接轉(zhuǎn)化成變更要求。對(duì)工單系統(tǒng)中涉及賬號(hào)授權(quán)關(guān)系的流程處理中增加“賬號(hào)授權(quán)對(duì)象變更表”必須導(dǎo)入控制點(diǎn)，即在工單系統(tǒng)中提交賬號(hào)授權(quán)變更申請(qǐng)時(shí)，自動(dòng)控制必須以附件形式導(dǎo)入“賬號(hào)授權(quán)對(duì)象變更表”（見(jiàn)圖3），作為對(duì)于變更內(nèi)容的說(shuō)明，用于后續(xù)的審批流程，同時(shí)作為變更內(nèi)容一同同步至4A管理系統(tǒng)，用于提示在4A系統(tǒng)上執(zhí)行具體的操作。

表2 從賬號(hào)導(dǎo)入變更對(duì)象表

表3 主從賬號(hào)授權(quán)導(dǎo)入變更對(duì)象表

圖3 工單系統(tǒng)中導(dǎo)入變更對(duì)象

將“賬號(hào)授權(quán)對(duì)象變更表”以附件形式添加至工單中，作為強(qiáng)制控制要求，確保變更對(duì)象信息的導(dǎo)入。

（3）提取變更對(duì)象

對(duì)于賬號(hào)權(quán)限變更申請(qǐng)信息在工單系統(tǒng)完成申請(qǐng)、審核、審批流轉(zhuǎn)后，通過(guò)工單系統(tǒng)與4A管理系統(tǒng)的接口將工單及附件信息發(fā)送至4A管理系統(tǒng)。4A管理系統(tǒng)接收工單信息，4A管理系統(tǒng)從“賬號(hào)授權(quán)對(duì)象變更表”中逐一提取賬號(hào)權(quán)限的對(duì)象信息，根據(jù)工單申請(qǐng)類型，將對(duì)象信息轉(zhuǎn)化成系統(tǒng)內(nèi)部的自動(dòng)作業(yè)計(jì)劃，由賬號(hào)管理員對(duì)作業(yè)計(jì)劃進(jìn)行審核后，自動(dòng)完成作業(yè)計(jì)劃的執(zhí)行，如將“主賬號(hào)導(dǎo)入變更對(duì)象表”中內(nèi)容對(duì)應(yīng)轉(zhuǎn)化至主賬號(hào)創(chuàng)建作業(yè)計(jì)劃。在上述過(guò)程中，賬號(hào)授權(quán)關(guān)系中變更信息的提取由系統(tǒng)自動(dòng)完成，不存在人為理解偏差，確保對(duì)象直接轉(zhuǎn)化為賬號(hào)權(quán)限變化的執(zhí)行計(jì)劃。

（4）核查一致性

4A管理系統(tǒng)定期核查主、從賬號(hào)以及對(duì)象關(guān)系的變化。系統(tǒng)會(huì)周期性對(duì)每個(gè)主賬號(hào)形成對(duì)象屬性變化過(guò)程，統(tǒng)計(jì)主賬號(hào)的變化由哪些工單變化而成，將所有變更工單以及“賬號(hào)授權(quán)對(duì)象變更表”作為該主賬號(hào)的管理屬性進(jìn)行呈現(xiàn)，可以逐個(gè)展現(xiàn)對(duì)象屬性變化過(guò)程。4A管理系統(tǒng)具有權(quán)限變更模擬展現(xiàn)，可以展現(xiàn)賬號(hào)對(duì)應(yīng)的對(duì)象屬性的變化過(guò)程和最終狀態(tài)。在對(duì)變更信息梳理整理后，提供給賬號(hào)管理員用于人工核查。

4 結(jié)束語(yǔ)

上述方案通過(guò)利用對(duì)象化方式導(dǎo)入、提取、展現(xiàn)賬號(hào)授權(quán)關(guān)系的方法，將現(xiàn)有以文字描述體現(xiàn)變更信息轉(zhuǎn)化為對(duì)象描述，提供系統(tǒng)自動(dòng)化提取變更信息的技術(shù)基礎(chǔ)；對(duì)以對(duì)象方式導(dǎo)入賬號(hào)授權(quán)變更信息在多個(gè)系統(tǒng)間的流轉(zhuǎn)過(guò)程中進(jìn)行稽核，是實(shí)現(xiàn)信息一致性保障的技術(shù)手段。

通過(guò)該技術(shù)設(shè)計(jì)可提高工作流程中賬號(hào)授權(quán)變更數(shù)據(jù)的一致性，提高4A管理系統(tǒng)自動(dòng)化處理流程，減少人為誤操作，確保后續(xù)4A系統(tǒng)賬號(hào)訪問(wèn)操作的穩(wěn)定性，達(dá)到提升企業(yè)運(yùn)維、審計(jì)工作效率的目標(biāo)。