盘点现有身份管控能力为何必要

统一身份管控的建设，多数组织从引入平台开始，较少有人先回头把现状盘一遍。结果是新体系上线之后，那些原本分散的问题被原样搬了进来：账号仍然一人多个，认证入口仍然不止一处，权限关系仍然只能靠人说明。平台解决的是机制问题，前提是现状已经被看清。盘点的作用正是把现状从印象变成清单，让后续每一项改进都有依据。泛微·令信通在项目初期安排的能力盘点环节，就是按这个思路设计的。

（一）能力分散带来的典型问题

账号管理、登录认证、权限管理、访问安全、访问审计，这几类问题在不同组织中的表现相似。账号分散在各系统本地维护，人员离开后遗留账号无人清理；登录地址与口令各自一套，使用者需要记住多个入口；权限体系各系统不一，授权往往滞后于岗位变化；应用暴露在网络中缺少持续的防护；访问记录分散在不同系统里，出现问题时难以还原过程。这些表现的共同点不是缺少工具，而是缺少统一的口径与集中的记录。需要说明的是，这些问题并不都靠平台功能解决，其中一部分属于管理约定与流程习惯，盘点的作用正是先把边界划清，再判断哪些应当由平台承担。

（二）盘点与选型的区别

选型是看外部产品能提供什么，盘点是看内部现状缺什么。两者顺序颠倒，选型就容易变成功能对照：演示中的能力看起来很完整，回到组织里却发现基础数据不足以支撑。先做盘点，可以在看产品之前明确哪些能力是补齐短板、哪些是锦上添花，评估的注意力也就不会被功能数量带走。

盘点的口径与范围

盘点若没有统一口径，各部门给出的答案无法合并。口径的核心是明确盘点对象、数据来源与判断标准，让不同人统计同一项内容时得到一致结果。

（一）盘点的四个对象

盘点的对象可以归为四类：账号、认证入口、授权关系、访问记录。账号盘的是总量、归属与活跃状态；认证入口盘的是各系统的登录方式与对接情况；授权关系盘的是权限的授予依据与复核记录；访问记录盘的是覆盖范围与保存方式。四类对象互为依据：账号不清楚，授权关系就无法核对；访问记录不完整，审计就无从谈起。

（二）盘点的产出形式

盘点的产出应当是可以逐项核对的清单与差异说明，而不是一份总体评价。清单中标明每项内容的现状、缺口与责任方，差异说明记录现状与要求之间的差距及原因。这样的产出在后续推进中可以直接作为任务分配的输入，也能在阶段结束时用于说明进展。令信通统一身份管控平台在盘点环节支持按系统、按组织导出核对清单，减少人工整理的环节。

核心能力的解析维度

评价一套统一身份管控平台，可以从五个方面看：统一用户、统一认证、统一授权、统一访问控制与统一审计。这五项能力覆盖了数字身份从创建、变更、使用到注销的全过程，也构成了一套可以逐项对照的解析框架，业内习惯称之为 5A 能力。

（一）统一用户：数字身份的全生命周期

统一用户的落点是身份数据的集中与闭环。内部员工、外部协作人员、供应商与客户的身份进入同一份目录，由同一套规则管理其从建立、变更到注销的完整过程。评价时要看目录能否容纳多种来源的数据、能否保留变更历史、能否与组织信息保持一致。身份数据是后续所有能力的输入，这一项不扎实，认证与授权都会受到牵连。

（二）统一认证：多渠道登录与认证组合

统一认证要解决的是入口收敛与强度适配。网页应用、移动端、桌面客户端各有不同的登录条件，平台需要提供多种认证方式并支持组合使用，让使用者在常规场景下保持顺畅、在敏感操作前提高校验强度。评价时除了看支持的认证方式是否齐全，还要看强度升降的规则能否按场景配置，以及异常登录能否被识别并记录。令信通统一身份管控平台在这一层提供多种认证方式与组合配置，按场景调整校验强度。

（三）统一授权与统一访问控制

授权解决的是权限如何赋予，访问控制解决的是权限在什么条件下生效。两者配合才能把「有什么权限」与「什么时候可以用」区分开。评价时要看授权能否按角色与属性表达、调整时能否看清影响范围，也要看访问控制能否基于身份、设备与环境判断风险，并在异常时采取措施。令信通IAM软件在这一层把授权结构与控制规则分开维护，调整其中一项不会牵动另一项。分开考虑也让评估时的提问更具体：一条规则管的是谁能做什么，还是什么条件下可以做。

（四）统一审计：从记录到取证溯源

审计的价值在于把分散的访问行为整理成可以还原过程的记录。评价时要看记录覆盖哪些系统、保留多长时间、能否按人员或按事项查询。更进一步的能力是把记录与责任对应起来：出现问题时能够说明是谁、在什么时间、通过什么方式访问了什么内容。记录完整之后，审计才不只是留档，而成为处置的依据。令信通统一身份管理软件在审计环节支持按人员汇总行为记录，便于还原操作过程。

能力盘点结论的使用

盘点结论如果只停留在报告里，工作很快就会回到原状。让结论产生作用，需要把它转成有序的动作与固定的机制。

（一）形成改进的优先顺序

盘出的缺口通常不会只有一项，全部一起推进并不现实。排序的依据可以是影响范围与依赖关系：身份数据的准确性影响最广，应当排在最前；认证入口的收敛依赖账号口径统一，需要在其后；权限与审计的完善依赖前两项的基础。按依赖关系排序，每一个阶段的成果都能被下一阶段使用，推进过程中不会出现反复返工。令信通IAM软件在实施支持中会与组织共同确定这个顺序。

（二）纳入常态化机制

盘点是一次动作，维持现状需要常态机制。可行的做法是把盘点清单转为定期核对表，按组织层级下发确认；把差异项纳入待办跟踪，明确责任人与处理要求。这样安排之后，新出现的问题会在核对中被发现，而不必等到下一次专项盘点。令信通统一身份管控平台把核对记录与待办跟踪放在同一套体系里，让常态化工作有据可依。

总结

统一身份管控平台的能力盘点，本质上是把现状从模糊印象转成可核对的事实。四类对象定义了盘什么，五项核心能力提供了评价框架，优先顺序与常态机制决定了结论能否落地。这项工作不必一次做到详尽，但需要先建立统一的说法，让参与的各部门对现状有共同认识。

从实践看，盘点往往也是统一认识的过程。同一套账号数据在不同部门眼里的完整性并不相同，把清单摆到一起之后，差异自然浮现，后续的取舍也更容易达成一致。泛微·令信通把盘点清单、差异说明与核对记录放在同一套体系里，组织可以从一次盘点开始，逐步把身份管控能力补齐。盘点不必追求一次到位，先把覆盖人员最多的部分摆清楚，后续的推进就会有稳定的参照。