rbac 一个用户对应多个账号_平台化服务的基石（一）：用户认证模型设计

用户权限（IAM）可以说是平台化建设最基础的服务，该服务建设的好差直接关系到平台化建设的成败。而用户及认证体系的设计更是基础中的基础，可谓是牵一发而动全身。本文我们以问题导向，聊一聊用户认证模型的设计。

基本概念

身份识别与访问管理（IAM，Identity and Access Management）包含了四个重要概念:

• 认证（identification）：确认访问者的身份，可通过用户名+密码， 手机号+验证码等方式，常见于登录操作
• 授权（authorization）: 为访问者委派权限并返回凭证，常见于Token形式
• 鉴权（authentication）: 根据访问者凭证确定访问者身份，常见于基于请求Token找到对应的账号
• 权限控制（permission control）: 根据访问者的权限配置及访问对象判断权限合法性，常见于基于ACL/RBAC模型扩展实现权限管理

这四个词在后文会经常提及，不要混淆。

用户隔离

作为平台服务需要支撑不同的组织粒度，比如不同的部门、业务线、公司，而不同组织粒度对用户信息有不同的隔离要求，比如一般而言，不同公司之间用户是隔离的，即用户U1在公司C1与公司C2下是两个独立的对象，可以有不同的密码、不同的个人信息，再如一般而言同一公司不同业务线间用户应该是共享，用户U1在业务系统S1中改了密码那么在同一公司的业务系统S2中也会修改。

这时我们就引出用户模型最基础的概念：租户、应用。

租户（Tenant）是数据隔离单位，不同租户间的数据不能共享（也有例外，后续文章会涉及“超级租户”）。一个租户可以有多个应用，应用（App）面向