实现企业内外部用户全生命周期，保障高效访问、有序变更、持续安全

方案概述

统一身份管理，对HR用户、IAM身份、应用账号进行治理及管理，形成用户统一认证身份，实现用户全生命周期管理统一身份管理方案主要包括组织用户同步、组织用户管理、应用账号管理、应用账号同步

组织用户同步

企业组织用户一般由HR系统进行管理，可能存在多套组织用户体系，以及非正式员工管理需求，IAM 统一身份认证基础是整合企业零散的组织用户数据，形成权威的组织用户体系，并向应用系统供应数据。TOPIAM 支持组织用户同步与合并功能，同步方案支持定时同步（LDAP、DB、FTP、API）、实时推送同步（API）、初始化导入（LDAP、Excel） 

多维组织

企业多维组织需求包括两个场景：多套异构组织用户体系（HR、AD各管理一套组织用户）、用户属于多个部门，企业诉求是优先统一用户、兼容组织现状、按需向应用供应数据、逐步推进标准体系建设。TOPIAM IAM通过【组织与用户多对多数据模型】方案支持用户属于多个部门场景，通过【多套数据源同步、基于数据源优先级合并用户、应用账号同步选择组织维度】方案支持多套异构组织用户场景

用户全生命周期管理
TOPIAM 用户全生命周期管理方案，实现用户、权限、应用账号自动化流转机制，形成管理规范、减少人工操作，建立身份安全基线

应用账号是用户在应用中的身份体现，一般称为从账号，从账号与主账号（用户身份）是一种绑定关系。TOPIAM IAM支持用户映射与自定义两种应用账号策略，并支持应用账号自动生成、自动绑定用户、自动同步给应用，实现灵活、自动化的应用账号管理流程

TOPIAM 支持通过导入或者API定时拉取方式，把应用存量组织与账号数据回收到 IAM 平台。回收到平台的应用账号，通过账号绑定策略自动关联用户，确保用户正常使用已有的应用账号。账号回收还用于账号合规审计，识别僵尸账号、孤儿账号等风险

应用多账号场景指一个用户在一个应用中存在多个应用账号（角色权限不同），TOPIAM 提供应用账号绑定、解绑、选择登录方案，支持管理员操作与用户自助操作

TOPIAM 依托安全核心技术、提供多种认证能力、灵活认证策略、丰富认证场景，满足企业安全、合规、易用诉求

支持传统认证、移动认证、生物认证、证书认证等技术，实现所知、所持、所有三个维度的认证能力

TOPIAM 支持 Windows AD域控认证作为一种统一认证方式，用户通过AD域认证登录系统后，直接通过浏览器访问应用门户和应用系统。方案使用微软SPNEGO认证技术，通过浏览器获取操作系统用户登录凭据

统一权限管理涉及访问权限（用户可以访问哪些应用）、应用权限（应用账号操作权限）。传统方案是由应用管理员给用户在应用中开通账号并分配权限，开通账号即代表用户拥有该应用访问权限，依靠人工管理，缺乏管理标准与操作审计，存在较大管理工作量以及安全隐患。应用可能采取不同的权限框架（比如Shiro、Spring Security、自定义框架），不同的权限模型（RBAC、ACLABAC+ACL等），不同的权限粒度（菜单、按钮、数据等），应用权限管理比较复杂，难以标准化。TOPIAM 支持访问权限与应用权限管理方案，两者互相独立

TOPIAM 用户自动分组策略，综合运用 ABAC 与 RBAC 权限模型，建立用户属性、用户组、应用权限三者之间的关联关系，实现用户默认授权与动态权限调整，用户自动分组策略支持用户任意属性关联权限组，比如用户状态、类型岗位、职级、部门等。用户自动分组策略与用户同步、用户管理、应用账号管理、应用账号同步功能结合，形成完整的自动化授权与账号管理体系，是用户身份治理与权限管理的核心方案

用户可以通过应用门户自助申请应用权限，更好满足用户差异化权限需求，并减轻管理员工作量

AM 集中管理用户身份与应用权限信息，对于体系复杂、用户规模大、应用数量多的企业集团来说，从管理运营体系管理效率等方面考虑，存在分级管理需求，也就是按照功能、组织、应用来进行分级管理。 TOPIAM 通过RBAC、ABAC模型构建灵活的分级管理方案，满足功能分级、组织分级、应用分级等管理业务场景

IAM 集中管理用户的身份权限与登录访问控制，审计范围包括管理员操作行为、用户登录认证行为、用户访问行为

管理员操作审计
保存所有管理员用户操作行为日志，对用户管理、权限管理、设备管理、认证策略管理等敏感操作

用户操作审计
保存所有普通用户操作行为日志，对用户认证、账户修改等操作进行操作审计