3、资源模型基础概念：资源定义、资源类型（用户、组、角色、权限、应用）、资源生命周期
资源模型是 IDP 自助门户的“数据骨架”。在身份治理与权限管控场景中，资源泛指所有需要被统一管理、授权、审计的数字实体。理解资源定义、资源类型划分以及资源生命周期，是后续进行资源模型协同调优的前提。
3.1 资源定义
在 IDP 上下文中，资源是指具有身份属性或权限属性的可管理对象。一个资源必须满足以下三个条件：
- 可标识：拥有全局唯一的 ID（如 UUID、DN、URN）。
- 可属性化：携带一组结构化元数据（如名称、类型、创建时间、所属域）。
- 可关联：能够与其他资源建立关系（如用户属于组、角色授予权限）。
关键原则：资源模型的设计应遵循“最小冗余、最大复用”。同一资源在系统中只应存在一份权威记录，所有消费方通过引用而非复制来使用它。
3.2 资源类型
IDP 自助门户通常管理以下五大核心资源类型。下表从定义、粒度、典型场景三个维度进行对比：
| 资源类型 | 定义 | 粒度 | 典型场景 |
|---|---|---|---|
| 用户 (User) | 自然人/服务账号的数字身份 | 细粒度（个体） | 员工入职、离职、密码重置 |
| 组 (Group) | 用户的逻辑集合，用于批量授权 | 中粒度（集合） | 部门组、项目组、AD 安全组 |
| 角色 (Role) | 权限的语义化封装，按职责定义 | 中粒度（职责） | 管理员、审计员、普通员工 |
| 权限 (Permission) | 对特定应用或数据的操作许可 | 细粒度（操作） | 读、写、删除、审批、导出 |
| 应用 (Application) | 受 IDP 管理的业务系统或服务 | 粗粒度（系统） | OA、CRM、HRIS、云服务 |
五种资源类型之间存在明确的依赖与组合关系：用户通过加入组或分配角色来获得权限，而权限最终作用于具体的应用。
架构建议：在 SaaS 多租户场景中，资源类型应额外携带
tenant_id 属性，确保租户间的资源隔离。组和角色建议优先使用 RBAC（基于角色的访问控制）模型，避免直接给用户挂载权限。
3.3 资源生命周期
每个资源从创建到销毁都经历一系列状态变化。统一的资源生命周期管理是 IDP 实现自动化治理的基础。下图展示了资源生命周期的五个核心阶段：
资源生命周期管理需要与 IDP 的事件引擎和审计日志深度集成。每个阶段的状态变更都应触发相应的自动化流程：
- 创建阶段：自动分配默认角色、发送欢迎邮件、创建主账号。
- 激活阶段：执行属性填充、组归属、权限预置。
- 使用阶段：持续同步属性变更、定期权限复审。
- 锁定阶段：撤销所有活跃会话、终止应用访问、通知管理员。
- 归档阶段：保留审计轨迹、清理临时令牌、释放存储配额。
常见陷阱：许多团队在资源模型中只设计了“创建”和“删除”两个状态，忽略了“锁定”和“归档”阶段。这会导致员工离职后权限残留、僵尸账号泛滥，最终引发合规风险。建议至少保留“激活→锁定→归档”三级状态机。
3.4 资源模型协同要点
资源模型并非静态定义，它需要与 IDP 自助门户的流程编排和策略引擎协同工作。以下是三个核心协同原则：
- 资源类型与表单模板绑定：每种资源类型对应一套自助申请表单，表单字段由资源属性动态渲染。
- 生命周期状态驱动审批流：资源从“创建”到“激活”的转换必须经过审批节点，审批策略按资源类型差异化配置。
- 权限继承与资源关系图：用户继承组的权限，组继承角色的权限，角色包含权限集合。资源关系图应支持可视化查询，用于权限审计和影响分析。
下表总结了资源类型与自助门户功能的映射关系：
| 资源类型 | 自助申请 | 审批流程 | 自动预置 | 审计追踪 |
|---|---|---|---|---|
| 用户 | 入职申请、账号注册 | HR 审批、经理审批 | AD/LDAP 创建 | 登录日志、属性变更 |
| 组 | 创建组、加入组 | 组管理员审批 | 组成员同步 | 成员变更记录 |
| 角色 | 角色申请、角色变更 | 安全团队审批 | 权限分配 | 角色授权记录 |
| 权限 | 权限申请（细粒度） | 应用负责人审批 | 应用侧策略下发 | 权限使用审计 |
| 应用 | 应用注册、SSO 集成 | IT 架构审批 | 元数据同步 | 应用访问统计 |
通过上述资源模型基础概念的建立，IDP 自助门户能够以统一的数据语言描述所有身份与权限实体，为后续的资源模型协同调优（如属性映射优化、生命周期策略编排、权限继承关系压缩）奠定坚实的数据基础。