外部用戶和內(nèi)部用戶的管理，都涉及到賬戶、角色和權(quán)限的管理，本文從自身經(jīng)驗出發(fā)，總結(jié)了各個環(huán)節(jié)需要注意的地方，希望能對大家有所幫助。

系統(tǒng)的使用者通常稱為用戶，用戶登錄后，系統(tǒng)通過各種標(biāo)識賦予用戶操作和查看權(quán)限。

后臺需要對用戶賬戶、操作權(quán)限和數(shù)據(jù)權(quán)限等進(jìn)行管理。用戶管理貫穿業(yè)務(wù)各個環(huán)節(jié)，是支撐業(yè)務(wù)運營的核心部分。

本文對后臺用戶管理進(jìn)行總結(jié)，期望對大家有所幫助。

一、外部用戶

系統(tǒng)用戶一般分為內(nèi)部用戶和外部用戶。這種區(qū)分是從平臺運維角度出發(fā)，平臺運維公司的員工稱為內(nèi)部用戶，其他用戶稱為外部用戶。

外部用戶隸屬關(guān)系比較復(fù)雜，有的掛靠在某公司之下，無需注冊，由系統(tǒng)管理員分配賬戶。

有的則以獨立個體存在，例如：釘釘，以獨立個體注冊，公司邀請員工，員工同意后才有了歸屬。

第三種情況是用戶以獨立個體注冊時選擇所屬公司，這種方式存在兩個問題：

1. 用戶隨意選擇企業(yè)，不能保證準(zhǔn)確性；
2. 是否要在后臺維護(hù)企業(yè)基礎(chǔ)數(shù)據(jù)，不維護(hù)的話，無法統(tǒng)一數(shù)據(jù)源，維護(hù)的話，不能覆蓋全部注冊用戶的企業(yè)。

選擇哪種方式，需要根據(jù)實際業(yè)務(wù)情況進(jìn)行設(shè)計。

目前平臺的服務(wù)對象是門店銷售員，由于業(yè)務(wù)沖突，平臺無法獲得企業(yè)級的合作，前兩種情況需要隸屬公司在平臺上進(jìn)行操作，只能選擇第三種方式，用戶以獨立個體注冊平臺，并填寫所屬企業(yè)。

為避免第三種方式存在的問題，做如下處理：

1. 用戶注冊填寫企業(yè)，無需選擇基礎(chǔ)數(shù)據(jù)；
2. 后臺維護(hù)企業(yè)基礎(chǔ)數(shù)據(jù)；
3. 用戶審核時，有平臺客服人員選擇企業(yè)基礎(chǔ)數(shù)據(jù)。

這樣既減少了用戶操作的繁瑣，平臺又能獲得精準(zhǔn)的數(shù)據(jù)。

二、內(nèi)部用戶

內(nèi)部用戶也有歸屬，舊有的平臺添加員工時選擇歸屬，在員工管理菜單下展示為員工列表，這樣做需要提前維護(hù)組織機(jī)構(gòu)，頻繁切換菜單。

像釘釘、企業(yè)微信等，在維護(hù)員工時，按照公司的組織架構(gòu)進(jìn)行維護(hù)，在同一頁面完成部門和員工的添加，層級關(guān)系清晰（見下圖）：

內(nèi)部用戶一般無需注冊，由系統(tǒng)管理員分配。分配的賬戶可以是字符串，也可以是員工的手機(jī)號碼。

三、角色與權(quán)限

每個賬號，都被賦予了特定的角色；而每個角色的背后，都有其對應(yīng)的權(quán)限信息。

通過RBAC權(quán)限管理模型，用戶可按照實際業(yè)務(wù)的需要分配不同的角色和權(quán)限，在共享一個軟件平臺的基礎(chǔ)上，實現(xiàn)不同用戶的不同功能。

權(quán)限的賦予分為自動賦權(quán)和手動賦權(quán)兩種。

外部用戶的自動賦權(quán)一般是賬戶有默認(rèn)的基礎(chǔ)權(quán)限，要想獲得更多的權(quán)限需要另外開通；內(nèi)部用戶的自動賦權(quán)，一般是把角色與行政關(guān)系下的部門建立綁定關(guān)系，用戶進(jìn)入到該部門后，賬戶自動被加入到對應(yīng)的角色中，并且擁有該角色所有的權(quán)限。

手動賦權(quán)無法通過用戶行政關(guān)系自動綁定來實現(xiàn)，需要手動建立角色賦予給賬戶。

例如：要求客服專員只能看分到自己名下的客戶，上級領(lǐng)導(dǎo)看全部下級的客戶，通過兩種方式實現(xiàn)：

1. 一是通過組織機(jī)構(gòu)的上下級歸屬自動賦予數(shù)據(jù)權(quán)限；
2. 另外一種用數(shù)據(jù)角色，實現(xiàn)跨部門查看數(shù)據(jù)。

另外，角色可以繼承，子賬戶繼承父系角色的權(quán)限。例如：賦予某企業(yè)級外部用戶admin某些權(quán)限，該企業(yè)下的其他子賬戶只能從admin權(quán)限中選擇可用權(quán)限。

權(quán)限依據(jù)屬性可分為操作權(quán)限和數(shù)據(jù)權(quán)限。

操作權(quán)限會從功能菜單、功能操作兩方面考慮，角色勾選上菜單和功能，擁有該角色的賬戶即可操作相應(yīng)的菜單和菜單下的操作（例如新、增、改、查），分配操作權(quán)限頁面見下圖：

數(shù)據(jù)權(quán)限會從菜單、列表及數(shù)據(jù)字段三個顆粒度考慮：

1. 菜單是最粗顆粒度的數(shù)據(jù)權(quán)限，獲得授權(quán)即可查看該菜單下的全部數(shù)據(jù)；
2. 列表是較細(xì)顆粒度的權(quán)限，不同角色的用戶進(jìn)入同一菜單頁后，查看的列表字段相同，但量級不同，例如上面描述的員工看自己的數(shù)據(jù)，領(lǐng)導(dǎo)看全部員工數(shù)據(jù)；
3. 數(shù)據(jù)字段是最細(xì)顆粒度的權(quán)限，不同角色的用戶進(jìn)入同一菜單頁后，可見的數(shù)據(jù)字段有差異，這些字段共存在一個菜單頁中，只是受限于不同的角色權(quán)限。

四、單點登錄

平臺會涉及多個應(yīng)用系統(tǒng)，例如：合同管理、資金管理、小程序管理、兌換商城等，可通過單點登錄（SSO）。

在多個應(yīng)用系統(tǒng)中，實現(xiàn)登錄一次就可以訪問所有相互信任的應(yīng)用系統(tǒng)。

應(yīng)用系統(tǒng)加入了單點登錄協(xié)議，管理用戶帳號的負(fù)擔(dān)就會減輕，實現(xiàn)應(yīng)用系統(tǒng)的用戶、角色和組織機(jī)構(gòu)統(tǒng)一化管理。

要實現(xiàn)SSO，需要：

1. 統(tǒng)一集中的用戶身份管理系統(tǒng)。所有應(yīng)用系統(tǒng)共享一個身份認(rèn)證系統(tǒng)，用戶登錄時，信息和用戶信息庫相比較，對用戶進(jìn)行登錄認(rèn)證；認(rèn)證成功后，認(rèn)證系統(tǒng)生成統(tǒng)一的認(rèn)證標(biāo)志（ticket），返還給用戶。另外，認(rèn)證系統(tǒng)還應(yīng)該對ticket進(jìn)行效驗，判斷其有效性。
2. 所有應(yīng)用系統(tǒng)能夠識別和提取ticket信息。應(yīng)用系統(tǒng)對ticket進(jìn)行識別和提取，通過與認(rèn)證系統(tǒng)的通訊，自動判斷當(dāng)前用戶是否登錄過，從而完成單點登錄功能。通過基于互聯(lián)網(wǎng)協(xié)議的單點登錄、登出體系實現(xiàn)用戶不同應(yīng)用系統(tǒng)間身份一致性，實現(xiàn)信息空間身份一致性。

不論是外部用戶，還是內(nèi)部用戶管理，都涉及到賬戶、角色和權(quán)限的管理。

本文從自身經(jīng)驗出發(fā)，總結(jié)了各個環(huán)節(jié)需要注意的地方，另外單點登錄涉及到用戶管理，貫穿整個平臺，此部分技術(shù)人員參與的比較多，本文只做了簡要的總結(jié)。

用戶管理系統(tǒng)最難的是后續(xù)的維護(hù)，系統(tǒng)中往往會出現(xiàn)很多冗余的角色，這都需要慎重思考，和業(yè)務(wù)溝通清楚后再做調(diào)整。