--- id: aab28230-7edb-3e9f-9537-d55c0bba33b2 title: 权限管理领域模型设计 tags: '' publish_date: '2026-09-18 15:10:09' last_modify_date: '2026-09-18 19:15:08' sha256: 645eacc0140c7e68f4c323f8a077b3d66577d5d38e0a876bf3e4d194254ae71c --- created_at: 2024.04.28 @数禾科技 + [1. 背景说明](http://wiki.caijj.net/pages/viewpage.action?pageId=265487665#id-%E6%9D%83%E9%99%90%E7%AE%A1%E7%90%86%E4%BA%A7%E5%93%81%E6%A8%A1%E5%9E%8Bv2.0-%E8%83%8C%E6%99%AF%E8%AF%B4%E6%98%8E) + [2. 名词解释](http://wiki.caijj.net/pages/viewpage.action?pageId=265487665#id-%E6%9D%83%E9%99%90%E7%AE%A1%E7%90%86%E4%BA%A7%E5%93%81%E6%A8%A1%E5%9E%8Bv2.0-%E5%90%8D%E8%AF%8D%E8%A7%A3%E9%87%8A) + [3. 对象模型](http://wiki.caijj.net/pages/viewpage.action?pageId=265487665#id-%E6%9D%83%E9%99%90%E7%AE%A1%E7%90%86%E4%BA%A7%E5%93%81%E6%A8%A1%E5%9E%8Bv2.0-%E5%AF%B9%E8%B1%A1%E6%A8%A1%E5%9E%8B) + [4. 场景推演（正向）](http://wiki.caijj.net/pages/viewpage.action?pageId=265487665#id-%E6%9D%83%E9%99%90%E7%AE%A1%E7%90%86%E4%BA%A7%E5%93%81%E6%A8%A1%E5%9E%8Bv2.0-%E5%9C%BA%E6%99%AF%E6%8E%A8%E6%BC%94%EF%BC%88%E6%AD%A3%E5%90%91%EF%BC%89) - [4.1. 角色说明](http://wiki.caijj.net/pages/viewpage.action?pageId=265487665#id-%E6%9D%83%E9%99%90%E7%AE%A1%E7%90%86%E4%BA%A7%E5%93%81%E6%A8%A1%E5%9E%8Bv2.0-%E8%A7%92%E8%89%B2%E8%AF%B4%E6%98%8E) - [4.2. 场景示意](http://wiki.caijj.net/pages/viewpage.action?pageId=265487665#id-%E6%9D%83%E9%99%90%E7%AE%A1%E7%90%86%E4%BA%A7%E5%93%81%E6%A8%A1%E5%9E%8Bv2.0-%E5%9C%BA%E6%99%AF%E7%A4%BA%E6%84%8F) - [4.3. 场景推演](http://wiki.caijj.net/pages/viewpage.action?pageId=265487665#id-%E6%9D%83%E9%99%90%E7%AE%A1%E7%90%86%E4%BA%A7%E5%93%81%E6%A8%A1%E5%9E%8Bv2.0-%E5%9C%BA%E6%99%AF%E6%8E%A8%E6%BC%94) + [5. 其他问题](http://wiki.caijj.net/pages/viewpage.action?pageId=265487665#id-%E6%9D%83%E9%99%90%E7%AE%A1%E7%90%86%E4%BA%A7%E5%93%81%E6%A8%A1%E5%9E%8Bv2.0-%E5%85%B6%E4%BB%96%E9%97%AE%E9%A2%98) # 权限管理领域模型设计 ### 1. 背景说明解决解决方案/产品 ToB 输出的多租户支持场景，不同租户共享产品和角色管理方案。 1. 解决当前角色管理混乱问题，全公司统一定义一棵角色树并作为标准化的管理样板。 2. 解决当前集中式权限申请操作繁琐的问题，支持用户在业务系统直接发起权限申请。 3. 解决批量赋权的问题，可以按照机构、行政组、虚拟组、职务+行政组进行批量赋权。 ### 2.名词解释 | **序号** | **名词** | **类型** | **说明** | **关系** | **来源** | **备注** | | :--------------------------------------------------- | :----------------------------------------------------------- | :--------------------------------------------------- | :----------------------------------------------------------- | :----------------------------------------------------------- | :----------------------------------------------------------- | :----------------------------------------------------------- | | 1 | 用户User | 对象 | 使用产品服务的自然人或对公法人（身份管理平台目前不支持对公法人拥护） | | 身份管理平台 | 用户可以独立于产品存在的，手机号+邮箱作为身份识别 | | 2 | 租户Tenant | 对象 | 租用服务提供方（此处特指数禾）所产品服务的对公法人主体，是服务提供方对服务租用方的最大管理单位 | | 身份管理平台 | 数禾主体既是服务提供方，同时又是自身服务的使用方（即同时也是租户） | | 3 | 机构Organization | 对象 | 租户下组织的管理单位，可以管理其下的行政组、虚拟组、供应商等 | 和租户的关系：机构必须属于某个租户 | 身份管理平台 | 机构分为主营机构和外部机构 | | 4 | 行政组Group | 对象 | 机构内的一种管理架构，用于管理和协调不同组织之间的关系 | 和机构的关系：行政组必须属于某个机构 | 北森人事系统 / 身份管理平台 | 在数禾主营机构中，行政组由人事在北森人事系统中管理，身份管理平台引用 | | 5 | 虚拟组Virtual Group | 对象 | 虚拟组是因跨行政组的管理需要组成的虚拟团队 | 和机构的关系：虚拟组必须属于某个机构 | 身份管理平台/外部API | | | 6 | 账号Account | 对象 | 服务提供方为对用户使用服务的行为进行分类、归集管理建立的用户身份标识 | 和机构的关系：账号必须属于某个机构和行政组的关系：账号可以关联多个行政组和用户的关系：一个用户在不同租户下可以有不同的账号 | 身份管理平台 | 一个用户在跨租户使用产品服务时可以为用户在每个租户下独立创建并维护账号。比如一个用户可以同时拥有中国移动、中国电信的两个手机号，甚至同时拥有中国移动的两个手机号，但是这两个手机号使用服务的情况是完全隔离管理的。 | | 7 | 职务Position | 对象 | 指的是用户在机构中所担任的特定的职责和权力 | | 北森人事系统 | 数禾租户内特指：XX工程师/产品经理等 | | 8 | 解决方案Solution | 对象 | 集成一组相互关联或依赖的软件产品以共享相似的功能模块，解决特定行业或领域的用户需求 | | 数字产品目录 | | | 9 | 租户菜单Tenant Menu | 对象 | 解决方案中的菜单，租户可以从多个产品中选择产品菜单进行重命名和重排序 | 和解决方案的关系：属于某个解决方案和产品菜单的关系：引用某个产品的菜单和租户关系：租户菜单属于一个租户 | 身份管理平台 | | | 10 | 产品Product | 对象 | 能够解决问题的一组软件集合，产品可以是一套应用程序、工具或平台 | 和解决方案的关系：解决方案通过多个产品组合来实现，一个产品可以出现在多个解决方案中 | 数字产品目录 | | | 11 | 产品菜单Product Menu | 对象 | 产品中的菜单 | 和产品关系：产品菜单必须属于某个产品和解决方案关系：可以通过租户菜单，将产品菜单展现在多个解决方案中 | 身份管理平台 | | | 12 | 组件Component | 对象 | 特指页面组件，页面组件是构成一个页面的独立模块，具有特定的功能和样式 | 和产品菜单的关系：组件属于某个产品菜单 | 身份管理平台 | 包括按钮、tab页、子页面等 | | 13 | 应用Application | 对象 | 用于执行特定的任务或满足特定的需求的软件 | | 应用中心 | 平台系统：指身份管理平台业务系统：除身份管理平台之外的系统 | | 14 | 角色Role | 对象 | 一组租户功能点的集合，是功能授权的最小单位。角色分为租户内置角色和租户自定义角色。内置角色：租户管理员租户自定义角色：租户根据其具体的业务场景和权限管理要求，自定义创建并维护的角色，仅在租户域内生效 | 和租户的关系：角色属于某个租户，不同租户拥有不同的角色 | 身份管理平台 | | | 15 | 角色树Role Tree | 对象 | 管理角色的数据结构，用于表示角色分类，不体现角色的包含关系 | 和角色关系：角色可以挂在角色树中的一个节点上（非必须）和租户的关系：每个租户拥有自己的角色树 | 身份管理平台 | 角色树由平台系统初始化 | | 16 | 页面资源Page Resource | 对象 | 被身份管理平台所保护的数据各类菜单、页面、按钮 | 和产品的关系：一个页面资源必须属于一个产品和产品菜单的关系：一个页面资源属于一个菜单 | 身份管理平台 | 例如：查看某个页面，点击某个按钮 | | 17 | API资源API Resource | 对象 | 被身份管理平台所保护的数据API接口 | 和系统的关系：API资源必须属于一个应用 | 应用中心 | 例如：请求后端某个接口 | | 18 | 功能点Feature Meta | 对象 | 角色允许访问页面资源和API资源的最小单位 | 和（页面/API）资源的关系：多个（页面/API）资源构成资源组 | 身份管理平台 | 例如：数字产品目录中产品读资源，包含产品列表页（页面资源），查询按钮（页面资源），产品详情页（页面资源）以及对应的查询接口（API资源） | | 19 | 租户功能点Feature | 对象 | 功能点在租户下的一个副本 | 和租户、功能点的关系：租户功能点是功能点在租户下的副本 | | | | 20 | 数据资源Data Resource | 对象 | 被身份管理平台所保护的数据 | | 身份管理平台 | 数据资源对象由业务系统自行管理，平台系统仅通过数据来源和数据资源外部编码简历对数据资源的唯一引用 | | 21 | 功能授权Feature Authorization | 对象 | 给账号、机构、行政组、虚拟组、职务授予某个角色的授予记录 | / | 身份管理平台 | | | 22 | 数据授权Data Authorization | 对象 | 给账号、机构、行政组、虚拟组授予某个数据资源的授予记录 | / | 身份管理平台 | 由业务系统调用接口进行赋权和撤销，需要保证在同一数据资源类型下的数据资源外部编码不冲突。 | | 23 | 数据资源类型Data Resource Type | 对象 | 数据资源的分类，例如：策略、产品等 | 和产品关系：一个数据资源类型只能属于一个产品 | 身份管理平台 | | | 24 | 数据资源操作Data Resource Operating | 对象 | 对数据资源的操作方式，例如：只读、读写、拥有者（任一操作） | 和数据资源类型的关系：数据资源操作属于一个数据资源类型 | 身份管理平台 | 内置三种数据资源操作：只读、读写、拥有者。可以由接入方定制自己的数据资源操作，例如：构建、发布 | | 25 | 平台授权Platform Authorization | 对象 | 身份管理平台管理端所需的超级管理员、租户配置员、产品配置员的授权记录 | / | 身份管理平台 | | | 26 | 角色管理员Role Admin | 对象 | 负责管理和维护角色的人员，可以分配角色给账号 | 和角色的关系：一个角色可以有多个角色管理员 | 身份管理平台 | | | 27 | 代理人Agent | 对象 | 是指在系统中代表他人进行访问、操作资源的人 | 和账号的关系：代理人可以代理一个账号 | 身份管理平台 | | | 28 | 代理项Agent Content | 对象 | 是指代理人被允许代表他人进行访问、操作的资源范围 | 和代理人的关系：一个代理人可以代理多个资源范围，也就是多个代理项 | 身份管理平台 | 例如：因代理关系而暂时拥有某个角色、某一类数据资源 | | 29 | 内部机构 | 属性 | 租户内购买使用服务的实体为运营机构 | 和租户的关系：租户至少有一个内部机构 | 身份管理平台 | | | 30 | 外部机构 | 属性 | 需要使用主营机构购买服务的实体 | 和租户的关系：租户内可以没有外部机构，也可以有多个外部机构 | 身份管理平台 | 例如供应商站在数禾提供toB服务角度，数禾就是租户的供应商数禾作为租户，其自身也有供应商，比如获客代理商+HRO（信息咨询服务类）+技术外包提供商+其他软硬件服务提供方等。数禾的供应商管理来自 SRM（采购系统）+BPM（供应商），数据归集在信息化集成平台的供应商管理模块对内部系统提供供应商主体和供应商账户信息查询服务 | | 31 | 用户登录 | 流程 | 认证“我是我”，可以使用身份管理平台，登录后可以查看“为我开通了哪些租户“和修改”我的基本信息“（用户如果拥有数禾员工的标记则不应该拥有修改的权限，因为修改入口在北森人事系统） | / | 身份管理平台 | 登录方式取决于身份管理平台能够为用户提供的选择，与租户无关。如果通过通用SaaS服务入口登录，则需要完成用户登录-选择租户→账户登录的过程使用租户服务。如果通过特定租户SaaS服务入口登录，则可以直接进行账户登录使用租户服务。 | | 32 | 账户登录 | 流程 | 认证”我是指定租户下的我“，可以使用租户购买或租用的在身份管理平台上架的产品服务 | / | 身份管理平台 | 通过账户登录信息能关联到用户信息。登录方式取决于租户的差异化诉求（各种认证方式、免密、互相认证等） | | 33 | 鉴权 | 流程 | 指验证当前登录账号是否有权进行特定操作或访问特定资源的过程 | / | 身份管理平台 | | | 34 | 开通租户 | 流程 | 为一个新的租户（即承租人或用户）创建并维护一个可用的租户空间 | / | 身份管理平台 | | | 35 | 关闭租户 | 流程 | 终止特定租户的使用权和访问权限 | / | 身份管理平台 | | | 36 | 上架产品 | 流程 | 在身份管理平台上架产品的过程，上架后允许给租户开通产品 | / | 身份管理平台 | 在身份管理平台关联数字产品目录中的产品 | | 37 | 开通产品 | 流程 | 给某个租户开通某个产品的过程，租户开通产品后可以使用产品提供的功能 | / | 身份管理平台 | 选择全部、部分元角色，分配全部或者部分功能点开通 | | 38 | 开通解决方案 | 流程 | 给某个租户开通解决方案对应的产品，并配置租户菜单 | / | 身份管理平台 | 选择全部、部分产品开通，从已开通的产品菜单中选择并配置为租户菜单 | | 39 | 关闭产品 | 流程 | 关闭已开通给租户的产品，租户无法再使用产品提供的功能 | / | 身份管理平台 | | | 40 | 关闭解决方案 | 流程 | 关闭已开通给租户的解决方案，租户无法再使用解决方案提供的功能 | | 身份管理平台 | | | 41 | 下架产品 | 流程 | 在身份管理平台下架产品的过程，已下架的产品不能给租户开通 | / | 身份管理平台 | | ### 3. 对象模型 ![](https://cdn.nlark.com/yuque/0/2024/png/2638049/1715089388112-7384f253-a7cc-4f6b-a42e-ffad06a0b749.png) ### 4. 场景推演（正向） #### 4.1. 角色说明![](https://cdn.nlark.com/yuque/0/2024/png/2638049/1714291400544-77fce89a-f700-47b6-801d-eabef78fe991.png) #### 4.2. 场景示意 ![](https://cdn.nlark.com/yuque/0/2024/png/2638049/1714291412807-dde6ac3e-333f-4a3a-9409-759ad3d8671a.png) #### 4.3. 场景推演 | 序号 | 流程 | 步骤 | 主体(Who) | 平台(Where) | 操作或关联对象(What) | 描述(How) | 用户故事（Story）数禾员工均为真名，中信员工均为化名，如张三等蓝色：角色；绿色：模型对象；橙色：组织 | | :--- | :--- | :--- | :--- | :--- | :--- | :--- | :--- | | 1.1 | 平台上线流程 | 初始化超级管理员 | 平台系统 | 平台系统 | 平台授权 | 将超级管理员（角色，平台枚举）初始化在平台授权表 | 通过脚本上线平台，脚本设置超级管理员章积伟 | | 1.2 | 平台上线流程 | 初始化租户配置员 | 平台系统 | 平台系统 | 平台授权 | 将租户配置员（角色，平台枚举）初始化在平台授权表 | 通过脚本上线平台，脚本设置租户配置员敖显奇 | | 1.3 | 平台上线流程 | 初始化产品配置员 | 平台系统 | 平台系统 | 平台授权 | 定时同步数字产品目录的产品负责人和产品经办设置为对应产品的产品配置员 | 平台系统定时任务设置张洋为产品配置员，且拥有获客一站式解决方案相关产品的配置权限 | | 1.4 | 平台上线流程 | 初始化数禾租户 | 平台系统 | 平台系统 | 租户、机构、用户、解决方案、产品等所有租户内对象 | 初始化数禾租户，导入或迁移所有租户域对象 | 章积伟设置数禾租户管理员崔晓明。脚本批量导入产品和角色，角色示例如下：1. 素材运营（可访问素材运营功能模块）2. 获客全平台（可访问获客一站式所有功能模块）3. 产品负责人（可操作产品运营页面）4. 解决方案负责人（可操作解决方案运营页面） | | 2.1 | 租户配置流程 | 初始化外部租户 | 超级管理员 | 身份管理平台管理端 | 租户、机构、用户、账号、角色（特指内置角色租户管理员、角色管理员、租户普通用户）、角色管理员、功能授权 | 超级管理员创建并维护租户和默认机构，创建初始用户并在默认机构为其创建账号，创建并维护租户管理员，为内置角色设置角色管理员，为其添加功能授权 | 超级管理员章积伟创建租户中信消金（平台自动生成同名机构），创建用户张三（中信）并设置为租户管理员 | | 2.2 | 租户配置流程 | 配置产品 | 产品配置员 | 身份管理平台管理端 | 功能资源、功能点 | 产品管理员配置自己负责的产品功能资源，定义功能点并配置功能点和功能资源的关系 | 平台系统定时同步数字产品目录的产品负责人/产品经办设置为产品配置员，产品管理员配置产品的功能点、功能资源及功能点与功能资源关系 | | 2.3 | 租户配置流程 | 配置解决方案/产品 | 租户配置员 | 身份管理平台管理端 | 租户、租户菜单、产品、角色、功能资源 | 租户配置员为租户配置租户菜单、产品，选择性复制数禾租户的自定义角色到外部租户作为内置角色（不可变更角色和对应功能资源）、选择性复制数禾租户的功能资源到外部租户 | 租户配置员敖显奇为中信消金开通获客一站式解决方案相关产品，选择性将数禾租户的自定义角色和对应功能资源复制到租户中信，配置租户菜单 | | 3.1 | 租户运营流程 | 配置机构/虚拟组 | 租户管理员 | 身份管理平台用户端 | 机构、虚拟组 | 租户管理员机构、虚拟组 | 张三创建行政组、虚拟组，行政组包括：营销中心-网络营销部-运营，虚拟组包括：素材运营团队一组 | | 3.2 | 租户运营流程 | 配置账号 | 租户管理员 | 身份管理平台用户端 | 用户、账号 | 租户管理员维护所有用户（租户域外）和账号（机构下），并将账号关联到虚拟组。 | 中信新员工周八入职，张三为周八并在中信租户-机构-行政组下创建账号，并关联到虚拟组素材运营团队一组 | | 3.3 | 租户运营流程 | 设置自定义角色 | 租户管理员 | 身份管理平台用户端 | 角色管理员 | 租户管理员创建并维护自定义角色，设置角色和功能资源的关系 | 租户管理员张三新增角色渠道运营，并设置该角色功能授权：可以访问的功能资源（包括页面资源和API资源） | | 3.4 | 租户运营流程 | 设置角色管理员 | 租户管理员 | 身份管理平台用户端 | 角色、角色管理员、功能资源 | 租户管理员为所有角色（内置角色和自定义角色）设置角色管理员 | 张三为所有角色（素材运营、渠道运营、获客全平台）分别设置对应角色管理员：素材运营-角色管理员李四（中信）、渠道运营-角色管理员王五（中信）、获客全平台-角色管理员赵六（中信） | | 3.5 | 租户运营流程 | 组织级授权 | 角色管理员 | 身份管理平台用户端 | 功能授权 | 角色管理员将所管角色授权到机构/行政组/虚拟组 | 素材运营-角色管理员李四为行政组营销中心-网络营销部-运营组+运营专员授权角色素材运营。 | | 4.1 | 功能权限赋权流程 | 账号级授权 | 角色管理员 | 身份管理平台用户端 | 功能授权 | 角色管理员将所管角色授权到账号 | 素材运营-角色管理员李四可为某员工授权角色素材运营。 | | 5.1 | 数据权限赋权流程 | 数据资源授权 | 业务系统 | 业务系统 | 数据授权 | 1.数据资源创建者默认为数据拥有者，业务平台通过 API 同步该授权到平台； 2.其他用户在业务平台页面申请或者被赋予数据授权，通过API 同步该授权到平台； | 1. 孙七创建一条素材数据资源，默认在数据授权中成为该条数据拥有者2. 孙七在素材运营页面将该条数据授权给虚拟组：素材运营团队一组（读写权限），该组下员工能够读写该条数据 | | 6.1 | 功能权限申请流程 | 申请功能权限 | 租户普通用户 | 身份管理平台用户端 | 功能授权 | 1.业务系统提示无权限，用户点击申请权限，展示角色清单及相应功能资源，用户选择角色并提交工单 2.平台系统为用户展示租户域内完整角色树及对应的功能资源，用户选择角色并提交工单 | 1. 周八访问素材运营功能模块，提示无权限，点击申请权限，弹出拥有该功能点的角色清单：素材运营-角色管理员，获客全平台-角色管理员，选择素材运营-角色管理员，提交申请工单2. 周八访问平台，在展开的角色树叶子节点上选择素材运营-角色管理员，提交申请工单 | | 7.1 | 权限代理流程 | 设置代理 | 租户普通用户 | 身份管理平台用户端 | 代理人、代理项 | 用户在平台系统设置代理人并在清单中选择全部或部分代理项，提交工单，代理人审批生效。清单包括角色及对应的功能资源、数据授权。 | 周八休假，设置代理人吴九，代理项为角色素材运营+该条素材数据，代理时间为三天，吴九审批工单后通过 | | 8.1 | 鉴权流程 | 鉴权 | 租户普通用户 | 身份管理平台用户端 | 功能授权、数据授权 | 功能鉴权： 1.1查找账号、账号所属的行政组、账号所属虚拟组、账号所属机构、账号关联的职务与行政组是否存在功能授权 1.2查找账号关联的被代理人账号是否存在功能授权数据鉴权： 2.1查找账号、账号所属的行政组、账号所属虚拟组、账号所属机构是否存在数据授权 2.2 查找账号关联的被代理人账号是否存在数据授权 | 无 | | 9.1 | 用户入转调流程 | 同步人事信息 | 平台系统 | 平台系统 | 用户、账号、行政组、职务 | 数禾租户从北森同步用户、账号、行政组、职务信息 | 无 | | 10.1 | 产品上架流程 | 上架产品 | 租户配置员 | 身份管理平台管理端 | 产品 | 租户配置员在平台系统上架产品（产品配置员已配置好功能资源）产品负责人张洋已经配置好功能点和数据资源 | 产品配置员张洋配置好功能点和数据资源，租户配置员敖显奇操作上架新的RTA平台产品，并配置租户菜单 | | 11.1 | 密码重置流程 | 重置密码 | 租户管理员 | 身份管理平台用户端 | 账号 | 租户管理员为用户在当前租户的账号操作重置密码 | 无 | ### 5.其他问题 1. 数据资源授权与角色解耦 2. 角色与产品解耦，提供租户域的全局管理视图 3. 页面资源、API资源与菜单解耦 4. 增加授权关系代理能力