3. 食品MES用户身份管理与认证

在食品MES中，身份管理不是“给每个人开个账号”这么简单。它要回答四个问题：谁可以进入系统、以什么身份进入、能操作哪些功能、什么时候必须被收回权限。食品行业还叠加了GMP、HACCP、FSSC 22000等合规要求，审计员会追问“这个账号是谁的、谁批准的、什么时候停用的”。因此，用户身份管理必须覆盖从入职到离职的完整生命周期，并与认证手段、目录服务、现场作业方式相匹配。

一、用户生命周期管理：创建、变更、禁用

用户生命周期的核心是“账号状态与人事状态保持一致”。在食品工厂，人员流动频繁，临时工、季节工、外包维修人员多，如果账号只增不减，就会形成大量“僵尸账号”，这是审计中最常见的缺陷项。

创建阶段的关键是“先审批、后开户”。合理的做法是由人事或车间主管发起开户申请，明确岗位、所属产线、需要使用的MES功能模块（如配料称量、包装赋码、批次放行、设备点检），由部门负责人和质量负责人审批后，再由系统管理员在MES中创建账号并分配角色。角色应按岗位设计，例如“配料操作员”“包装线长”“质量放行员”“设备维修员”，而不是给个人单独勾选权限。账号命名建议采用工号或统一规则，避免重名和冒用。

变更阶段最容易被忽视。员工调岗后，原岗位权限若不回收，就会出现“配料员同时拥有放行权限”的越权风险。变更应触发权限重算：调岗申请审批通过后，系统按新岗位角色重新授权，同时回收旧角色。对于临时授权（如维修人员临时进入洁净区操作终端），应设置有效期，到期自动失效。

禁用阶段必须与离职流程联动。员工离职当天，账号应立即禁用而非删除，保留历史操作记录以满足追溯要求。禁用后，该账号不能再登录，但其历史电子签名和操作记录仍可被审计查询。建议每月做一次账号复核，由部门负责人确认本部门在职人员清单与MES账号清单一致，差异项限期处理。

二、多因素认证在食品工厂的落地

多因素认证（MFA）要求用户提供两类以上不同性质的凭证，通常是“知道的密码”加“拥有的设备或生物特征”。在食品MES中，MFA最适合用在风险较高的操作上，而不是所有登录都强制，否则会影响车间效率。

建议按操作风险分级部署：普通查询和报表查看采用“账号+密码”；关键工序操作（如配料复核、批次放行、电子签名、修改工艺参数）叠加第二因素。第二因素可以是手机动态口令、工牌刷卡或指纹。以批次放行为例，放行员输入密码后，系统要求再刷工牌或输入动态码，两次凭证都通过才生成电子签名记录。这样即使密码泄露，也无法单独完成放行。

落地时要考虑车间环境：操作员可能戴手套、手上有水或粉尘，手机不一定允许带入洁净区。因此第二因素的选择要贴合现场，不能照搬办公场景。MFA的失败次数、锁定策略也要配置，例如连续5次第二因素失败锁定账号15分钟，并记录事件供审计查看。

三、与LDAP/AD集成

食品工厂通常已有企业级目录服务（如Active Directory）。让MES自己维护一套账号密码，既增加管理员负担，也容易出现“离职后MES账号未停”的漏洞。与LDAP/AD集成后，MES不再存储用户密码，而是把登录请求转发给目录服务验证，验证通过后由MES根据目录中的用户组映射本地角色。

集成的关键设计点有三个。第一，用户组映射：在AD中按岗位建立安全组，如“MES_配料操作”“MES_质量放行”，MES配置组到角色的映射规则，用户加入组即获得对应权限，移出组即失去权限。第二，账号禁用联动：AD中禁用账号后，MES应在下次登录时拒绝，并可通过定时同步任务主动标记本地账号为禁用。第三，断网兜底：车间网络与办公网可能分区，若目录服务不可达，需明确是拒绝登录还是允许本地缓存凭证短期登录，并记录该异常事件。食品生产连续性要求高，兜底策略要提前与质量部门确认。

示例：AD组到MES角色的映射配置（示意）
AD组: MES_Blending_Op     → MES角色: 配料操作员
AD组: MES_QA_Release      → MES角色: 质量放行员
AD组: MES_Maint_Tech      → MES角色: 设备维修员（有效期90天）
同步周期: 每30分钟；禁用联动: 实时登录校验 + 每日全量比对

四、生物识别与工牌认证的适用场景

生物识别（指纹、人脸）和工牌认证都属于“持有型/固有型”凭证，优点是快、不用记密码，缺点是受环境和成本影响。选择时要看岗位和区域。

指纹识别适合固定工位的重复性操作，如配料称量、包装线扫码确认，操作员在同一个终端上频繁认证，指纹可以显著减少输密码时间。但在粉尘大、手部潮湿或戴手套的岗位，指纹识别率会下降，此时人脸识别或工牌更合适。人脸识别适合洁净区入口、更衣室通道等需要快速通行的场景，但要注意光照和口罩影响，并做好生物特征模板的加密存储与隐私合规。工牌认证（RFID/IC卡）成本低、速度快，适合作为MFA的第二因素或区域门禁联动，但工牌易转借，单独使用不足以证明“本人操作”，因此工牌更适合“工牌+密码”组合，而不是单独作为强认证。

五、服务账号与系统间认证

MES不是孤岛，它要与ERP、WMS、SCADA、称量设备、赋码系统交换数据。这些系统间的调用不应使用某个真实员工的账号，否则一旦该员工离职或改密，接口就会中断，而且审计上无法区分“人操作”和“系统调用”。正确做法是建立服务账号：专用于系统间通信，不关联具体个人，权限最小化，只开放必要的接口和数据范围。

服务账号的认证方式建议采用密钥或证书，而不是固定密码；密钥要定期轮换，并记录在安全的配置管理中。服务账号的操作日志同样要纳入审计追踪，标识为“系统调用”，与人工操作区分开。例如WMS向MES推送原料入库批次时，使用服务账号调用接口，MES记录调用来源、时间、数据内容和结果，便于追溯数据来源。

把上述五部分串起来看，身份管理的目标是“人、岗、权、证”四者一致：人员状态决定账号状态，岗位决定角色权限，认证手段证明操作者身份，服务账号隔离系统调用。食品MES的审计追踪之所以可信，前提就是每一次操作都能追溯到明确的身份来源。建议在系统上线前先梳理岗位角色矩阵和AD组映射表，再确定哪些操作叠加MFA、哪些区域采用工牌或生物识别，最后为每个外部接口建立服务账号清单并明确轮换周期。这样既满足合规审计，也不会让车间操作变得繁琐。