科技
进入该工程域查看架构、实施与治理文档。
Engineering domains
技术主题域
从身份源、认证、授权到审计，以工程域组织架构决策和实施经验。
Latest documentation
最新文章
围绕真实系统问题，梳理可落地的身份架构、权限模型与治理路径。
精选专题 · 主策略
如何证明员工权限真的被收回：用可验证闭环替代单点指标
如何证明员工权限真的被收回：用可验证闭环替代单点指标 证明员工权限被收回需用可验证闭环，通过交叉验证人事变更、系统响应、应用状态及访问测试结果，替代单一接口返回成功的错误判断。 别把接口返回的”200 OK”当成撤权完成的判决书。很多团队以为只要调用了删除接口，或者系统日志显示动作已提交，员工就彻底失去了访问资格。这种单点指标往往掩盖了真实的 员工离职权限回收 风险，让安…
SCIM 草案能保证多久撤完权限？IPSIE 草稿没写死时限，别拿它当合同签
SCIM 草案能保证多久撤完权限？IPSIE 草稿没写死时限，别拿它当合同签 SCIM 草案目前仅是草稿，未设定强制撤权时限或 SLA 标准，实施团队不可依据其承诺具体离职响应时间。 有人问：SCIM 草案能保证多久撤完权限？答案其实取决于你如何定义这份文件。目前市面上流传的《SCIM 2.0 IPSIE Profile》版本，由 Jen Schreiber 与 Danny Zollner 在 …
Azure Databricks 同步避坑：账户级与 Workspace 级 SCIM 冲突导致权限混乱
Azure Databricks 同步避坑：账户级与 Workspace 级 SCIM 冲突导致权限混乱 Azure Databricks 中目录供给与认证架构完全独立，启用账户级 SCIM 时必须禁用工作区级连接器，以避免路径冲突导致的权限混乱。 很多管理员在 Azure Databricks 里遇到权限混乱，往往是因为把“用户数据怎么进系统”和“用户怎么登录系统”当成了一回事。Microso…
离职流程中软删除是什么意思？别把“记录还在”当成“权限失效”
离职流程中软删除是什么意思？别把“记录还在”当成“权限失效” 离职流程中的软删除指在 SCIM 协议下，为兼顾业务审计与数据关联需求，将用户对象标记为逻辑失效而非物理抹除的操作状态。 离职流程中软删除是什么意思：为什么“删除”不等于“消失” 软删除并非让对象彻底退出系统，而是通过保留记录满足审计留存要求，使技术上的移除指令无法直接等同于业务数据的消失。 2015 年一份关于 SCIM 协议的草案…
SCIM 删除返回 200 OK，离职员工为何还能登录？
SCIM 删除返回 200 OK，离职员工为何还能登录？ SCIM 发送删除请求成功不代表权限彻底切断，因目录记录、认证会话和访问令牌分开管理，离职账号可能因缓存或旧令牌残留继续访问系统。 SCIM 删除后员工还能登录吗？别被“删除成功”误导 SCIM DELETE 请求返回成功仅代表目录接口接收了指令，并不等同于用户无法访问下游系统，管理员需警惕“删除成功”的误导。 很多管理员看到系统返回&r…
OAuth、OIDC、SAML 选错就是灾难：一张表看清三种协议到底该用在哪
OAuth、OIDC、SAML 选错就是灾难：一张表看清三种协议到底该用在哪 OAuth 用于第三方获取资源访问权，OIDC 用于确认用户身份及档案，SAML 用于跨组织安全信息传递，三者分别对应委托授权、身份认证与业务交换需求。 先分清“被证明的对象”：三种协议的核心定位差异 三种协议的核心差异在于被证明对象不同：OAuth 证明权限，OIDC 证明身份，SAML 证明业务断言，选错对象会导致…
别把 SAML 当 OAuth：它是跨组织交换安全信息的框架，核心在属性传递
别把 SAML 当 OAuth：它是跨组织交换安全信息的框架，核心在属性传递 SAML 协议是专为业务伙伴间交换安全信息而设计的框架，其核心在于构建跨组织信任关系，而非仅作为简单的身份认证工具。 为什么 SAML 协议适合企业间交换安全信息的场景？ SAML 2.0 适合企业间场景是因为它原生支持复杂的跨组织信任机制，能直接传递包含验证结果与属性的完整数据包。 提到 SAML，很多人第一反应是“…
OIDC 不是 OAuth 的替代品：它如何多要一张 ID Token 搞定登录
OIDC 不是 OAuth 的替代品：它如何多要一张 ID Token 搞定登录 OIDC 通过在 OAuth 2.0 授权流程之上增加身份层，利用 ID Token 和 Claims 将单纯的资源访问授权扩展为完整的终端用户身份验证方案。 OIDC 并非独立协议，而是建立在 OAuth 2.0 之上的身份层 OpenID Connect 并非独立于 OAuth 的替代协议，而是直接建立在 OA…
拿到 Access Token 不等于登录成功：OAuth 2.0 的授权与认证大误区
拿到 Access Token 不等于登录成功：OAuth 2.0 的授权与认证大误区 获取访问令牌仅代表获得资源访问权限，不能直接证明用户已完成身份认证登录，因为 OAuth 2.0 协议核心职责是授权而非确认用户身份。 OAuth 2.0 的核心定义：是授权委托而非身份认证 OAuth 2.0 标准定义其核心机制为授权委托，即允许第三方应用代表用户访问资源，该过程本身不包含对用户真实身份的验…
只记 Permit/Deny 没用：规模化授权需要能复核的五环证据链
只记 Permit/Deny 没用：规模化授权需要能复核的五环证据链 规模化授权场景下的证据链需包含请求输入、参与属性、适用策略、动态补充过程及变更记录，以形成可复核的审计闭环而非仅输出允许或拒绝结果。 为什么仅仅看到“允许”或“拒绝”还不够？ 在百万级访问规模下，单纯可见的允许或拒绝决策无法追溯操作主体与时间，必须依赖包含完整上下文数据的持续可见性才能满足合规审计需求。 当系统每天处理百万次访…
OPA 打包报错？同一 bundle 内包名前缀重叠也会直接失败
OPA 打包报错？同一 bundle 内包名前缀重叠也会直接失败 避免策略包命名冲突需依赖 OPA 构建期机制，该机制强制拦截同包内名称相同或前缀重叠的包，将配置错误前置阻断，与运行时规则冲突的处置逻辑存在本质差异。 当你尝试打包一组 OPA 策略时，如果其中包含两个名字相同或前缀重叠的包，构建过程会直接报错并终止。 [1] 你无法看到任何生成的镜像，也无法将这套配置部署到生产环境。这种“一票否…
角色也能动态生成？XACML 如何按需补充授权属性
角色也能动态生成？XACML 如何按需补充授权属性 动态属性通过 XACML 规范的动态属性权威组件，在授权请求处理期间按需实时生成决策依据，将静态声明扩展为包含角色使能等关键信息的完整上下文。 为什么静态声明不够用了？理解动态生成的核心逻辑 静态声明因无法覆盖复杂业务场景的完整证据链而失效，动态生成的核心逻辑在于利用动态属性权威组件在毫秒级窗口内按需补充缺失的属性与数值。 当一个授权请求刚抵达…