📚 课程目录第4章权限治理概述

4. 权限治理概述

在UNS（统一命名空间）数据体系中，数据质量解决的是“数据是否可信”，而权限治理解决的是“谁在什么条件下可以访问哪些数据、以什么方式访问”。权限治理并不是简单的账号分配或角色配置，而是一套围绕主体、客体、权限、策略、审计持续运转的管理机制。它既要保证业务人员能够高效获取所需数据，又要防止越权访问、数据泄露和合规风险。

一句话理解：权限治理是通过制度、流程和技术手段，对“谁可以访问什么、能做什么、何时何地访问、如何被审计”进行持续定义、执行与优化的过程。

4.1 权限治理的定义与边界

权限治理（Access Governance）是指组织为保护数据资产、满足合规要求、支撑业务协作，而对访问权限进行规划、授予、审批、复核、回收和审计的全生命周期管理活动。它覆盖身份、角色、策略、授权、认证、鉴权、审计等环节，并与数据分类分级、数据质量、元数据管理紧密联动。

需要区分三个容易混淆的概念：

身份管理（IAM）：解决“你是谁”，包括账号、认证、单点登录、多因素认证。
权限治理：解决“你能做什么”，包括角色、策略、授权、复核、回收。
审计合规：解决“你做了什么”，包括日志、追踪、报告、证据留存。

在UNS场景中，权限治理的边界通常延伸到数据目录、标签、资产、API、消息主题、文件路径和字段级别。也就是说，治理对象不仅是“系统入口”，还包括“数据内容本身”。

4.2 核心要素：主体、客体、权限、策略与审计

权限治理的核心要素可以概括为五个部分，它们共同构成一个闭环：

要素	说明	UNS中的典型对象
主体（Subject）	发起访问的用户、服务、应用或设备	员工账号、服务账号、API客户端、边缘网关
客体（Object）	被访问的数据或资源	UNS节点、主题、表、字段、文件、标签
权限（Permission）	允许执行的操作集合	读、写、订阅、发布、删除、授权、导出
策略（Policy）	权限授予与限制的规则	角色绑定、属性条件、时间窗口、IP限制
审计（Audit）	记录、追踪和复核访问行为	访问日志、授权变更记录、异常告警

这五个要素缺一不可。只有主体和客体而没有策略，权限就会失控；只有策略而没有审计，就无法发现违规和优化配置。

4.3 主流访问控制模型对比

权限治理落地时，必须选择合适的访问控制模型。常见模型包括DAC、MAC、RBAC、ABAC和ReBAC，它们在灵活性、管理成本和适用场景上差异明显。

DAC（自主访问控制）：资源拥有者自行决定授权，灵活但难以统一管控，适合个人文件共享。
MAC（强制访问控制）：由系统按安全标签强制控制，安全性高但灵活性低，常见于高密级场景。
RBAC（基于角色的访问控制）：通过角色连接用户与权限，易于管理，是企业级UNS权限治理的主流选择。
ABAC（基于属性的访问控制）：根据用户属性、资源属性、环境属性动态判断，适合细粒度和动态场景。
ReBAC（基于关系的访问控制）：根据实体之间的关系授权，适合组织架构复杂、共享关系频繁的场景。

实际工程中，往往采用RBAC为主、ABAC为辅的混合模式：用角色覆盖80%的常规权限，用属性策略处理临时、敏感或跨域访问。

# 示例：UNS主题的RBAC+ABAC混合策略（伪配置）
role: uns_analyst
permissions:
  - topic: uns/plant1/lineA/telemetry
    actions: [read, subscribe]
condition:
  department: "production"
  clearance: "internal"
  time_window: "08:00-20:00"
  source_ip: "10.20.0.0/16"

4.4 合规要求与治理目标

权限治理必须满足外部法规和内部制度的双重约束。常见合规要求包括：最小权限原则、职责分离、定期复核、访问留痕、数据最小化、跨境传输限制和隐私保护。例如，《数据安全法》《个人信息保护法》以及行业监管规则，都要求企业对数据访问进行可解释、可追溯、可审计的管理。

最小权限原则：任何主体只应拥有完成当前任务所必需的最小权限，且权限应具有时效性，任务结束后及时回收。

治理目标可以归纳为四个维度：

安全性：防止未授权访问、越权操作和数据泄露。
合规性：满足法律法规、行业标准和内部审计要求。
效率性：让授权、审批、复核流程自动化，减少人工等待。
可观测性：权限状态、访问行为和异常事件可查询、可分析、可告警。

4.5 典型场景与常见误区

以某制造企业UNS平台为例：生产部门需要订阅产线遥测数据，质量部门需要读取检测结果，外部供应商只能访问约定批次的数据。若采用“一人一权限”的粗放模式，人员变动时极易产生权限残留。引入RBAC后，按岗位建立角色，再通过ABAC限制供应商的访问批次和时间窗口，权限复核周期从季度缩短到月度，越权事件显著下降。

常见误区：把权限治理等同于“上系统”；只关注账号开通，不关注权限回收；角色设计过粗或过细；审计日志只存不查；忽视服务账号和API密钥的治理。

权限治理不是一次性项目，而是持续运营。建议建立“申请—审批—授予—复核—回收—审计”的闭环流程，并将权限数据与UNS元数据、数据分类分级结果联动，才能让治理真正服务于数据质量与业务协同。