用户权限(IAM)可以说是平台化建设最基础的服务,该服务建设的好差直接关系到平台化建设的成败。而用户及认证体系的设计更是基础中的基础,可谓是牵一发而动全身。本文我们以问题导向,聊一聊用户认证模型的设计。
基本概念
身份识别与访问管理(IAM,Identity and Access Management)包含了四个重要概念:
认证(identification):确认访问者的身份,可通过用户名+密码, 手机号+验证码等方式,常见于登录操作
授权(authorization): 为访问者委派权限并返回凭证,常见于Token形式
鉴权(authentication): 根据访问者凭证确定访问者身份,常见于基于请求Token找到对应的账号
权限控制(permission control): 根据访问者的权限配置及访问对象判断权限合法性,常见于基于ACL/RBAC模型扩展实现权限管理
这四个词在后文会经常提及,不要混淆。
用户隔离
作为平台服务需要支撑不同的组织粒度,比如不同的部门、业务线、公司,而不同组织粒度对用户信息有不同的隔离要求,比如一般而言,不同公司之间用户是隔离的,即用户U1在公司C1与公司C2下是两个独立的对象,可以有不同的密码、不同的个人信息,再如一般而言同一公司不同业务线间用户应该是共享,用户U1在业务系统S1中改了密码那么在同一公司的业务系统S2中也会修改。
这时我们就引出用户模型最基础的概念:租户、应用。
租户(Tenant)是数据隔离单位,不同租户间的数据不能共享(也有例外,后续文章会涉及“超级租户”)。一个租户可以有多个应用,应用(App)面向业务系统,一般而言,一个应用对应于一个业务系统,但并不强制这种一对一的关系。账号(Account)隶属于租户,即便是同一个自然人在不同租户间也会有各自的账号,同一租户的不同应用共享账号信息。
账号名 | 关联租户 |
---|---|
张三 |
T1 |
张三 |
T2 |