2. 身份生命周期管理：账号创建与注册流程、账号变更与权限调整、账号回收与注销机制、身份源（HR系统、AD/LDAP）同步
身份生命周期管理，说白了就是管好一个账号从生到死的全过程。我做了这么多年审计，发现很多企业的安全漏洞，根源都在生命周期管理上——要么是账号创建时没把关，要么是人走了账号还活着。
这一节，我们重点看四个环节：账号创建与注册、账号变更与权限调整、账号回收与注销，以及身份源同步。每个环节都是审计的必查项。
核心观点：身份生命周期管理不是IT部门的事，而是企业内控的基石。审计时，我会重点看流程是否闭环、是否有审批、是否有记录。
2.1 账号创建与注册流程
账号创建，是身份管理的起点。很多企业在这第一步就埋了雷。
我见过最典型的场景：新员工入职，HR发了个邮件给IT，IT就直接在AD里建账号、给权限。整个过程没有任何审批，也没有记录。等审计时一问，谁批准的？不知道。给了什么权限？查不到。
规范的账号创建流程，应该包含以下步骤：
- 触发源：必须是HR系统的人事入职记录，不能是口头或邮件通知。
- 审批环节：部门主管确认入职，IT管理员执行创建。
- 权限分配：基于岗位模板（Role-Based），而非手动逐个勾选。
- 记录归档：创建时间、操作人、审批人、初始权限，全部记入日志。
| 环节 | 常见问题 | 审计关注点 |
|---|---|---|
| 触发源 | 非HR系统触发，无统一入口 | 是否与HR系统对接？是否有唯一工号？ |
| 审批 | 无审批或事后补审批 | 审批记录是否完整？审批人是否合规？ |
| 权限分配 | 手动分配，权限过大 | 是否使用角色模板？是否遵循最小权限？ |
| 记录 | 无日志或日志不可追溯 | 日志是否防篡改？保留期限是否达标？ |
我的经验：审计时，我会随机抽取10个新创建的账号，反向追溯HR的入职记录。如果发现账号创建时间早于HR系统记录，或者找不到对应的HR记录，基本可以判定流程失控。
2.2 账号变更与权限调整
账号变更，比创建更复杂。因为变更往往发生在员工在职期间——转岗、晋升、调部门，每一次变动都可能带来权限的累积。
我记得有一次审计，发现一个员工已经转岗3次，但他的账号里还保留着前两个岗位的所有权限。这就是典型的权限漂移问题。
权限调整的核心原则：
- 变更必须审批：不能由IT自行决定加权限。
- 旧权限必须回收：转岗后，原岗位权限应立即移除。
- 临时权限设有效期：紧急授权必须有时限，到期自动回收。
- 变更记录可追溯：谁申请的、谁批准的、谁执行的、什么时候生效的。
避坑指南：我曾经遇到一家企业，所有权限变更都走邮件审批。结果审计时发现，有30%的变更邮件根本找不到审批人回复。后来一问，IT说“口头同意了”。嗯，这种口头同意，在审计眼里等于没有同意。
2.3 账号回收与注销机制
账号回收，是生命周期管理的最后一道防线。但恰恰是这道防线，最容易出问题。
我做过一个统计：在已审计的50家企业中，有42家存在离职员工账号未及时注销的情况。最夸张的一个案例，一个员工离职两年后，他的VPN账号还能登录。
规范的注销流程：
- HR触发：员工离职当天，HR系统自动发送离职通知。
- IT执行：收到通知后，立即禁用账号（Disable），而非删除。
- 权限回收：移除所有访问权限，包括AD、应用系统、VPN、邮箱。
- 保留期：禁用账号保留30-90天，确认无遗留工作后再删除。
- 归档：删除前备份邮箱和文件，删除后记录归档。
| 状态 | 操作 | 审计检查点 |
|---|---|---|
| 离职当天 | 禁用账号 | 是否在24小时内执行？ |
| 保留期 | 保留账号，移除权限 | 保留期是否合理？是否有访问记录？ |
| 删除 | 彻底删除账号 | 删除前是否备份？删除记录是否完整？ |
关键指标：审计时，我会计算“账号回收时效”——从员工离职到账号禁用，平均耗时多少。合规要求通常是24小时内，金融行业甚至要求4小时内。
2.4 身份源同步（HR系统、AD/LDAP）
身份源同步，是整个生命周期管理的技术底座。说白了，就是让HR系统、AD/LDAP、以及各个应用系统之间的数据保持一致。
我见过最混乱的场景：HR系统里员工已经离职了，但AD里账号还是启用状态。为什么？因为两个系统之间没有自动同步，全靠IT手动操作。手动操作嘛，难免有遗漏。
身份源同步的审计要点：
- 同步方向：HR系统是权威源（Source of Truth），AD/LDAP是目标系统。
- 同步频率：实时同步最佳，至少也要每天一次。
- 异常处理：同步失败时，是否有告警？是否有重试机制？
- 数据一致性：定期比对HR和AD的数据，发现差异及时修复。
我的做法：审计时，我会要求提供一份HR系统与AD系统的数据比对报告。如果差异率超过1%，基本可以判定同步机制有问题。
下面这张图，展示了身份生命周期管理的完整流程：
2.5 审计实战：如何检查身份生命周期管理
讲完理论，我们说说审计时具体怎么查。我个人习惯按以下步骤来：
- 查制度：有没有成文的身份生命周期管理制度？制度是否覆盖了创建、变更、回收三个环节？
- 查流程：制度是否落地？有没有系统支撑？还是全靠人工？
- 查记录：随机抽取样本，检查审批记录、操作日志、同步日志是否完整。
- 查结果：比对HR系统与AD系统的数据，看是否存在差异。
- 查时效：检查账号创建和回收的时效是否达标。
重要提醒：审计时，不要只看IT系统里的数据。一定要和HR系统做交叉比对。我遇到过一家企业，IT系统里显示所有账号都正常管理，但一比对HR数据，发现20个离职员工的账号还在活跃状态。这就是典型的“系统合规，实际不合规”。
嗯，身份生命周期管理这块，内容不少。但核心就一句话：让系统自动管，别让人手工管。自动化程度越高，出问题的概率越低。审计时，我也会重点看自动化覆盖率——这是衡量管理水平的关键指标。