3. 身份与权限工程概述

在工业数据空间中，数据不再局限于单一企业内部，而是跨越设备商、运营商、制造商、服务商与监管机构流动。谁在访问数据、以什么身份访问、能访问到什么粒度、访问行为是否可追溯，这些问题共同构成了工业数据空间的信任基础。身份与权限工程，正是围绕“身份可信、权限可控、行为可审计”构建的一整套技术与管理体系。

3.1 三个基本概念

身份管理（Identity Management）关注“主体是谁”。在工业数据空间中，主体既包括人，也包括设备、边缘网关、工业软件、数据服务、数字孪生体甚至算法模型。身份管理要完成身份注册、唯一标识分配、凭证签发、生命周期维护和身份注销。工业场景中，一个 PLC、一台数控机床、一个 OPC UA 服务器都可能成为数据访问主体，因此身份管理必须支持机器身份与人类身份的统一建模。

访问控制（Access Control）关注“能做什么”。它依据主体身份、资源属性、环境条件和策略规则，决定某次访问请求是允许还是拒绝。常见模型包括 RBAC（基于角色的访问控制）、ABAC（基于属性的访问控制）和 ReBAC（基于关系的访问控制）。在工业数据空间中，访问控制往往需要同时考虑数据分级、设备状态、生产阶段、地理位置和合同约束。

权限工程（Authorization Engineering）关注“如何把权限设计好、交付好、治理好”。它覆盖权限模型设计、策略编写、策略分发、授权决策点部署、权限变更、最小权限校验和权限审计。权限工程把身份管理和访问控制连接成可运营的闭环，使权限不是静态配置，而是随业务、组织和数据关系动态演进的工程对象。

3.2 目标与挑战

身份与权限工程的核心目标可以概括为四点：可信身份，确保每个主体身份真实且不可冒用；最小权限，只授予完成当前任务所必需的权限；动态适配，权限能随生产任务、设备状态和合同关系变化；可审计可追责，每一次访问都有完整证据链。

然而在工业数据空间中，这些目标面临特殊挑战。第一，主体异构：IT 用户、OT 设备、云服务、边缘节点使用不同协议和凭证体系，难以统一管理。第二，跨域信任：数据在多个企业之间流转，身份需要跨组织互认，但各组织的身份系统和信任根并不相同。第三，实时性约束：工业控制场景对授权决策延迟敏感，集中式鉴权可能无法满足毫秒级要求。第四，数据主权与合规：数据所有者希望控制数据使用范围，而使用方希望获得足够权限，二者需要精细平衡。第五，生命周期复杂：设备会退役、人员会调岗、合同会到期，权限必须同步失效，否则会形成“权限僵尸”。

3.3 方法流程：从身份到授权的闭环

一个可落地的身份与权限工程流程通常包含六个步骤：

1. 身份建模：梳理数据空间中的主体类型，定义唯一标识规则和身份属性，如组织、角色、设备型号、安全等级。
2. 凭证签发：为每个主体签发可验证凭证，如 X.509 证书、DID 文档、OAuth Token 或 Verifiable Credential。
3. 策略设计：根据数据分级、业务场景和合规要求，编写访问控制策略，明确“谁在什么条件下可以访问什么资源”。
4. 授权决策：在访问请求发生时，策略决策点结合身份断言、资源属性和环境上下文进行判定。
5. 策略执行：策略执行点拦截请求，执行允许、拒绝或降级操作，并记录访问日志。
6. 审计与优化：分析访问日志，发现越权、闲置权限和异常行为，反向优化策略和身份生命周期。

3.4 工业场景案例

假设某汽车零部件制造商需要向设备供应商开放部分产线数据，用于预测性维护。设备供应商的工程师需要访问振动传感器数据和设备运行日志，但不能访问工艺配方和产量数据。此时，身份与权限工程需要完成以下工作：

• 为设备供应商工程师建立外部身份，并绑定其所属组织和合同编号。
• 为传感器数据和日志数据打上资源标签，如“维护用途”“非核心工艺”。
• 编写策略：仅当合同有效、访问目的为维护、且请求来自供应商可信网络时，允许读取指定数据。
• 在数据连接器上部署策略执行点，对每次请求进行实时判定并记录。
• 合同到期后，自动撤销该外部身份的全部权限，避免权限残留。

3.5 常见误区与复盘