格尔软件可信身份管控平台
立即咨询
首页
四类
人员设备应用机构
多种
证书口令人脸FIDO
统一
单点登录与鉴权
在线
离线鉴权均支持
⚠️行业痛点与挑战
🔍一人一堆账号
同一个人在办公、财务、生产系统各有一个账号，密码规则还不一样，改一次要改五处。
⏱️权限靠口头授
谁能看哪个模块，靠主管在群里说一句，管理员照做，事后没人能说清这个权限是谁批的。
🧠离职账号还在
人走了账号没停，业务系统各自为政，等到发现异常登录才回头查，已经过了几个月。
🔗设备没有身份
摄像头、网关、自助终端接进网络时只校验地址，设备被替换或仿冒，系统分辨不出来。
📉认证方式各搞一套
门户用口令、财务用U盾、移动端用短信，用户体验割裂，安全强度参差不齐。
🚧审计拼不起来
出了问题要从五六个系统分别导日志，时间格式都不一样，拼在一起对不上人。
🎯产品定位与核心价值
可信身份管控平台统一管理人员、设备与应用的身份，提供多因素认证、单点登录、粗细粒度授权与行为审计，为多套业务系统提供一致的鉴权服务。
💡可靠交付保障
统一身份认证系统的实施配套包含培训与知识转移，团队可持续自主运营。
🔁灵活扩展路径
业务增长带来的单点登录与授权治理方案新需求，在既有架构上按模块扩展承接。
🧷能力可度量
统一身份认证系统的各项输出均有可核验的记录，单点登录与授权治理方案的成效不依赖主观判断。
⚙️核心能力详解
🧮统一身份目录
人员、机构、设备、应用四类实体建在一个目录里，属性可扩展，身份变更保留历史档案。
🧱多因素认证
支持证书、口令、人脸、短信、指纹与FIDO，按应用敏感度组合认证方式，认证结果统一返回。
⚡单点登录
一次认证后可访问已接入的应用，支持标准协议对接，未改造的应用通过认证代理接入。
📊粗细粒度授权
功能权限与数据权限分开管，支持角色、用户组和属性授权，可为业务系统提供在线与离线鉴权。
🌐设备与应用身份
为设备和应用签发身份凭证，接入时校验凭证与绑定关系，替换设备需重新登记。
🔧行为审计与风险
汇总登录、授权、访问行为，按人和资源画像，异常登录与越权访问触发预警。
📐技术规格
| 产品名称 | 可信身份管控平台 |
| 所属厂商 | 格尔软件 |
| 产品分类 | 身份安全·统一身份认证系统 |
| 核心能力 | 统一身份目录、多因素认证、单点登录 |
| 应用场景 | 集团多应用单点登录、设备身份接入、外包人员临时授权 |
| 替换考虑 | 既有单点登录与授权治理方案系统的切换路径可与身份安全行业惯例对齐 |
| 能力延续 | 统一身份认证系统的版本迭代不要求单点登录与授权治理方案场景重新配置 |
| 产品定位 | 可信身份管控平台·身份安全领域的产品形态与应用边界 |
| 能力主线 | 统一身份认证系统·可信身份管控平台的能力主线，配套身份权限治理平台形成完整链路 |
🏭典型应用场景
✈️集团多应用单点登录
集团总部把办公、财务、合同、邮箱接入平台，员工一次登录后按角色进入各系统，权限随岗位变动自动调整，调岗当天生效，异常登录会被拦下并通知管理员，权限变更要通知到应用管理员并留回执。
🚗设备身份接入
视频前端、网关、自助终端接入前先登记设备身份，接入网关校验凭证，未登记的设备拒绝入网，设备更换要重新登记并解除旧绑定，设备下线要注销身份，闲置设备超过期限先冻结。
🔋外包人员临时授权
外包人员按项目开通账号，有效期与合同一致，到期自动停用，延长要重新审批，项目结束后账号与门禁、VPN权限一并回收，外包人员离场当天回收账号，门禁与网络权限同步停用，延期需重新提交材料。
🌊离职回收
人事系统推送离职事件，平台停用账号并通知各应用，未及时回收的应用列入待办清单，按月核对完成率并追查未回执的应用，回执缺失的应用由信息中心代为停用并说明原因。
🏗️分支机构接入
分支机构人员通过统一门户访问总部应用，认证在本地完成，权限按机构与岗位下发，跨机构访问要申请临时授权并注明事由，授权到期自动失效，续期需重新审批，总部只保留汇总查看权限。
🚢等保与内控检查
按人员导出可访问资源清单，按资源导出可访问人员清单，检查时说明授权依据与审批记录，权限复核每季度做一次并留签字，两份清单互为对照，能看出授权是否有对应的审批依据。
🏆典型应用案例
📦
身份目录梳理
先把各系统的人员账号按人员编号归并，重复账号合并、长期不用的账号清理，再统一属性字段，为后续授权打底，归并清单由各单位管理员确认后执行，清洗完成后冻结旧账号，观察一个周期再删除，归并前后账号数要能对上。
🛫
权限模型落地
按岗位梳理角色，把功能权限挂到角色上，数据权限按机构范围控制，避免给每个人单独配权限，角色数量控制在可维护的范围内并定期清理，角色上线后按季度复核一次，长期无人使用的角色合并或停用。
🏭
应用接入分批做
先接支持标准协议的应用，再用认证代理接老系统，每批接入后做一次登录与鉴权验证，记录改造量，改造量大的应用排在后面单独评估，每批接入前先在测试环境跑一遍登录、鉴权与退出的完整路径，并留存配置快照。
📦
离职联动
把人事事件接到平台，离职自动停用并推送各应用，未回执的应用生成待办，按月核对完成率，长期不回执的由主管部门督办，核对结果报人事与信息中心，连续两个月未回收的账号由平台强制停用。
🔌接入方式
🖥️与证书体系
认证时校验用户证书链与吊销状态，证书主体与目录中的账号绑定，换证后更新绑定关系，绑定不一致的登录请求直接拒绝并记日志，证书到期换发期间保留旧绑定一段时间，避免登录中断。
☁️与业务应用
标准协议应用直接对接，老应用通过认证代理接入，鉴权接口按资源和操作返回允许或拒绝，返回结果带判定依据便于排查，接口返回码要统一，应用侧按返回码决定提示还是重试。
🤝与人事和组织系统
按人员编号同步组织、岗位与在职状态，作为授权和回收的依据，同步失败进入待处理队列，队列积压超过阈值要告警，组织调整期间允许临时保留原权限，调整完成后统一收敛。
🧩生态协同与能力底座
🧩应用软件厂商
平台能管住多少身份取决于接入了多少应用，应用厂商对标准协议的支持程度直接决定接入工作量，选型阶段就要把应用清单和协议摸一遍，厂商配合度要在选型阶段摸清。
🔗系统集成商
在等保改造和集团信息化项目里，集成商把平台与门户、网关一起交付，需要提前约定账号规范与权限模型，避免各项目各建一套，交付时要把账号规范写成文档随项目移交。
🌱身份核验服务商
人脸、短信等认证方式依赖外部服务，接口稳定性和计费方式影响认证体验，关键场景要准备备用认证方式并定期演练切换，认证方式切换时要提前通知用户并给操作指引。
🚀产品差异化特点
🌟管身份不只管登录
除了认证和单点登录，还把授权关系和设备身份纳入同一目录，登录之后能回答这个人能访问什么，权限变更留痕可查，授权关系变了能查到是谁改的、依据哪张审批单。
🆚授权可分可合
角色、用户组、属性三种授权方式并存，组织调整时改一处生效，不用逐人改权限，三种方式并存时要有优先顺序避免冲突，属性授权适合临时场景，到期后自动失效。
🧬在线离线都能鉴权
业务系统可以在线调用鉴权接口，也可以拿到本地策略自行判断，弱网环境不至于全部拒绝，本地策略的更新周期要能配置，离线期间的判定结果会回传，便于事后审计。
✅最佳实践
📝
先清账号再谈授权
重复账号和长期不用的账号不清，授权做得再细也是在错的底子上，清洗必须先行，清洗前后各出一份账号数量对比，清洗要按部门确认，不能由管理员单方面删除。
🔄
角色别按部门建
按部门建角色，一次组织调整就要重建，按岗位和职责建更稳，岗位与角色的对应关系要有人维护并定期复核，角色命名要与岗位名称对应，便于业务人员理解。
🎯
代理接入要压测
老系统走代理接入，登录高峰容易成为瓶颈，上线前按峰值做压测，代理节点要能横向扩展并纳入监控，压测要覆盖登录、鉴权与退出三个动作，记录响应时间分布。
📈
离职回收要有回执
平台停用不等于应用停用，回收要拿到各应用的回执，未回执的挂待办，回执要带时间戳，超过期限未回收的应用列入风险清单并强制停用，回收完成后更新台账状态。
🗺️企业落地路径
1️⃣
梳理身份与权限
盘点人员、设备、应用清单和现有账号，产出账号归并方案与角色清单，明确哪些系统先接入，清单要覆盖外协、外包与共享账号，并标注责任人，清单经业务确认。
2️⃣
建目录与认证
部署平台、建身份目录、接入认证方式，先让门户和邮箱接入，验证单点登录，记录登录成功率与异常原因，接入完成后再逐项核对认证方式与敏感度是否匹配。
3️⃣
授权与设备身份
把功能权限和数据权限配到角色，登记设备身份并接入网关，跑通一次越权拦截，记录拦截日志与处置结果，越权拦截的结果要能复现，便于向业务部门说明。
4️⃣
审计与回收机制
上线行为审计和离职联动，形成季度权限复核，产出复核报告与整改清单，明确整改责任人与完成时限，复核发现的问题要限期整改，整改结果由主管部门确认。
💬常见问题 FAQ
和证书体系是什么关系？
CA签发证书，平台用证书做认证。平台不签发证书，只校验证书链与吊销状态，并据此建立会话，证书更新后要同步刷新平台侧的绑定关系，证书只解决身份真实性，能访问什么由平台授权决定。
应用要改造吗？
支持标准协议的应用改配置即可接入，老系统通过认证代理接入，改造量集中在前端登录页，接口不开放的应用只能走代理或单点跳转，改造工作量按登录方式与用户规模评估。
支持哪些协议？
常见的有SAML、OAuth2、CAS、LDAP和Radius，具体到某个应用要看它支持的对接方式，协议版本不一致时要先做兼容测试，接入前先确认应用是否支持标准协议，再决定直连还是走代理，协议选型要跟着应用清单走。
断网还能鉴权吗？
支持离线鉴权，把权限策略下发到本地代理，断网时按缓存策略判断，恢复后回传日志，缓存有效期要按业务容忍度设定，缓存策略要按资源敏感度分级，敏感资源断网时直接拒绝。
设备身份怎么标识？
用设备证书或预置凭证标识设备，与资产编号绑定，更换硬件要重新登记并解除旧绑定，未登记设备接入时由网关拦截并告警，登记信息包括品牌型号、责任人、安装位置和接入交换机。
和人事系统怎么同步？
按人员编号定时同步在职状态、机构和岗位，入职建号、调岗改权限、离职停用，异常按日对账，对不上的由单位管理员确认，同步范围与字段要在对接前定好，避免把薪资等敏感字段带进来。
能扛多少并发？
按认证请求量规划节点，登录高峰和鉴权接口分开部署，具体容量在方案阶段按业务量测算，上线前按峰值做一次压测，并发指标按登录与鉴权分别测算，不要只看登录峰值。
多单位怎么隔离？
按机构树划分管理域，各自管自己的人与权限，总部可汇总查看，跨域授权要双方审批，审批记录随授权关系一并保存，跨域调阅的记录要能导出，供检查时说明授权过程。
📄信息来源与免责声明
本页信息由云巴巴整理，参考来源为格尔软件官网及官方公开文档，聚焦单点登录与授权治理方案能力的客观呈现。
产品功能的时效性说明：公开资料如有更新，以格尔软件官方最新版本为准。
需要可信身份管控平台的选型建议或部署支持，云巴巴可安排专业顾问对接服务。
产品推荐
腾讯云智能全屋AI语音助手支持全链路的AI能力输出，接入云智能语音助手，直接连接腾讯特色生态内容亿级的资源、内容库。提供成熟的数字人人格化体系框架；丰富的数字人动作库可快速迁移到客户的定制形象中。
量子矩阵认知智能解决方案，搭建面向各垂直领域、拥有长链条推理能力的算法模型平台。平台可自主规划任务，依托长时记忆完成多层决策推理与多方协同执行，形成复杂业务端到端闭环，实现自主运转作业。适配政企、工业、金融等多行业复杂工作场景，摆脱人工频繁干预，依靠深度认知能力拆解繁琐流程，落地无人化作业，兼顾通用性与行业适配性，助力各类机构依靠自主智能简化业务链路，释放数字化生产力。
数字化社区
视频
文章
