悦库企业网盘在集团组织中进行文件管理的研究

大型组织机构(1000人以上)中，通常由多个相对独立的下属组织单位组成，每个下属单位都有自己的职责和目标，本文探讨如何实现对大型组织机构的文件管理。

1. 组织

1.1 组织定义
大型组织由总部、下属单位、部门、人员四个组织层级组成：

总部是一个大型组织的最顶级单位，例如集团名称、大学名称等，悦库系统中有且只有一个总部。总部下包含多个层级的下属单位，而下属单位中也包含多个部门，形成一个树形组织结构。总部本身也是一个特殊的下属单位，遵守下属单位相关规则。

下属单位是一种组织的逻辑类型，通常用于建立一个相对独立的人员管理逻辑范围，具有独立的组织结构和文件访问安全边界。例如集团子公司、大学学院、集团医院分院等。下属单位中可以包含多个子单位或部门，可以在总部或其他下属单位之下，但不能在部门下。

部门 是一个独立组织下的分支机构。可以直接隶属于总部，或某一个下属单位，可以在总部、下属单位、其他部门之下。

人员是隶属于组织中的个人，人员可以直接隶属于总部，也可以同时隶属于多个部门或单位中。

简化的树形组织结构示例：

1.2 组织关系

总部关系

总部下可以有0或多个下属单位，下属单位有且只有1个总部。
总部下可以有0或多个部门，部门有且只有1个总部。
总部下可以有0或多个人员，人员必须隶属于1个总部。
下属单位关系

下属单位可以有0或多个子下属单位，子下属单位有且只有1个上级单位。
下属单位可以有0或多个部门，部门有且只有1个上级单位。
下属单位可以有0或多个人员，人员可以隶属于0个或多个上级单位。
部门关系

部门可以有0或多个子部门，子部门有且只有1个上级部门。
部门可以有0或多个人员，人员可以隶属于0个或多个上级部门。
人员关系

人员可以直接隶属于总部/下属单位/部门之下。
人员必须隶属于1个总部，但可以同时隶属于多个下属单位或部门之下。
组织中各个层级之间的E-R关系图：

RootOrganization(总部)、SubOrganization(下属单位)、Department(部门)、personnel(人员)。

2. 角色
   2.1 角色定义
   在企业中访问控制的范围取决于员工所扮演的角色，角色中包含企业已确认的职责、责任和资格的规范，例如：悦库系统中的角色包括文件管理员、人事管理员、运维管理员等，每一种角色根据其包含的职责有不同的访问范围。

例如单位人事主管角色用于管理单位内部的人员，拥有对人员/部门的创建、编辑和删除等人事相关权限。

在组织中只有人员可以拥有角色，一个人员可以同时拥有多个角色：

2.2 角色级别
角色按权力级别分为：管理员角色、单位主管角色、部门主管角色、普通角色。管理人员只能创建比自身角色级别低的新角色，当为其他人指派角色时，被指派角色权限必须小于当前管理者自身角色的权限，这样可以防止角色恶意提权问题。

由系统创建的默认角色，其中1~3级为管理角色，4级为普通角色：

1级管理员角色

文件管理员，可以管理系统中的所有文件，可以查看系统中的所有单位、部门和人员。

人事管理员，可以管理系统中所有下属单位以及下属单位中的部门和人员、管理本单位角色和公共角色，拥有人事管理最高权限，但只拥有人事权限，无管理文件权限。

运维管理员，对系统进行运行维护，无人事和文件管理权限。

2级单位主管角色

单位文件主管，可以管理本单位中的所有文件，可以查看当前单位中的所有部门和人员。

单位人事主管，位于下属单位，可以查看和管理当前单位中的所有部门和人员、管理当前单位角色，无管理文件权限。

3级部门主管角色

部门文件主管，可以管理本部门中的所有文件，可以查看当前单位中的所有部门和人员。

4级普通角色

普通员工，可以在授权范围内对文件进行操作，默认仅可以访问本单位内组织，经过授权可以访问其它单位组织。

2.3 职责分离
职责分离是确保单个人员不具备完成恶意行为的所有必要权限的一种策略。最常见的⽰例是财务工作中的发起⽀付和授权⽀付操作，任何⼀个⼈员都不应该能够同时拥有这两种权限。在文件管理领域中以FTP服务器为例，运维人员的职责是系统运行维护，却可以超出自身职责，直接查看FTP服务器上的所有企业文件(本应属于文件管理职责)，运维人员的职责不明确，将为企业文件增加泄露风险。

管理角色按职责分为职能管理和文件(业务)管理。人事管理和运维管理属于职能管理，人事管理角色只负责管理组织和人员，运维管理角色则只负责管理系统运维相关工作，职能管理角色不参与对文件访问权限的管理。文件管理角色专门负责组织内的文件(业务)管理，不参与组织的职能管理。

3. 权限
3.1 单位隔离
下属单位 是一个相对独立的组织，拥有单位范围的安全边界。各单位之间在组织访问、文件访问、角色设置等操作中相互隔离，默认不能互通。

例如在集团医院中，如果将市北分院和崂山分院定义为下属单位，则默认市北分院的人员无法访问崂山分院的文件，同时也看不到崂山分院的组织结构。市北分院中创建和设置的自定义角色在崂山分院中不可见。

3.2 单位协作
在相互隔离的单位之间建立协作关系，是企业中常见的应用场景。

单个人员可以通过设置和授权方式实现对其他单位的组织或文件的访问。例如：通过将市北分院的用户小明，加入到西海岸分院中，实现人员跨单位访问，这样市北分院的小明就可以访问西海岸分院的组织结构和已授权文件。

作为一个独立单位，也可以设置可见单位，实现两个单位之间的组织互通。组织互通后，就可以根据授权访问对方单位的文件。

附录
常见的大型组织形式：

大学

集团公司

集团医院