2. 身份生命周期管理：从注册到吊销的全链路管控
身份生命周期管理，说白了就是管好一个数字身份的「生老病死」。我见过太多企业只关注「创建账号」这一步，结果离职员工账号还活着、供应商权限越滚越大、审计时一堆僵尸账号……嗯，这些都是生命周期没闭环的典型症状。
这一章，我们聚焦四个核心阶段：注册、变更、吊销、审计与合规。每个阶段都有坑，我一个个说。
2.1 身份注册：第一道防线
注册阶段最容易犯的错误是什么？我告诉你——过度信任。很多企业觉得「内部员工嘛，HR 发个邮件就行了」，结果呢？供应商的临时账号、外包人员的幽灵账号，全从注册环节漏进来。
我个人习惯把注册流程拆成三步：
- 身份验证：确认「你是谁」。内部员工走 HR 系统对接，外部供应商走企业认证（比如 DUNS 号、VAT 号）。
- 授权预审：确认「你该有什么权限」。不是 HR 说了算，是业务负责人签字。
- 最小化初始权限：默认只给只读权限，需要更多再走变更流程。
注册阶段的核心原则：先验证，后授权，再开通。顺序不能乱。
我在项目中遇到过一家制造业客户，他们的供应商注册流程是这样的：供应商填个 Excel 表，发邮件给采购部，采购部再转发给 IT……你想想看，这中间有多少人工环节？出错率有多高？后来我们改成了自动化注册门户，供应商自己上传资质文件，系统自动校验，再推送给业务审批。注册时间从 3 天缩短到 2 小时。
2.2 身份变更：动态调整的艺术
身份变更，说白了就是「人还是那个人，但角色变了」。最常见的场景：员工转岗、供应商人员更换、权限升级。
这里有个大坑——变更不通知。很多企业只在入职和离职时管身份，中间的变化全靠「自觉」。我曾经审计过一家公司，发现一个员工从研发部转到市场部半年了，还挂着生产数据库的 DBA 权限。这要是出了事，算谁的？
我建议变更流程必须包含：
- 触发源：HR 系统、供应商管理系统、工单系统，必须自动推送变更事件。
- 审批链：原部门负责人 + 新部门负责人双签。
- 权限回收与授予：先回收旧权限，再授予新权限。顺序很重要。
注意：变更时最容易遗漏的是「关联系统」。比如员工换了部门，ERP 系统改了，但 CRM 系统没改。我建议用身份治理平台（IGA）做统一调度，确保所有下游系统同步更新。
还有一个细节：临时变更。比如供应商的工程师需要临时访问生产环境 48 小时。这种场景我习惯用「时间绑定的权限」，到期自动回收，不需要人工介入。
2.3 身份吊销：最难的一环
说实话，身份吊销是生命周期里最容易被忽视、也最容易出事的环节。为什么？因为「加权限」大家都积极，「减权限」没人愿意得罪人。
吊销分两种：
| 吊销类型 | 触发条件 | 典型场景 | 风险等级 |
|---|---|---|---|
| 硬吊销 | 员工离职、合同终止 | 员工辞职、供应商解约 | 高 |
| 软吊销 | 角色变更、权限降级 | 转岗、权限回收 | 中 |
硬吊销必须做到「秒级响应」。我见过最离谱的事：某公司员工离职后，IT 部门过了两周才关账号。结果那个账号被外部攻击者利用，从内部发起了钓鱼攻击。嗯，这就是典型的「吊销延迟导致的安全事件」。
我的经验：硬吊销流程要自动化。HR 系统一旦标记「离职」，立即触发：
- 禁用 AD/LDAP 账号
- 撤销所有应用权限
- 回收硬件设备
- 发送审计日志
整个过程最好在 5 分钟内完成。
软吊销呢？更复杂。因为「人还在，只是权限变了」。我曾经帮一家金融客户设计软吊销流程，核心思路是「先降权，再观察，最后回收」。比如一个项目经理不再负责某个项目，先把他从项目组的管理员降为成员，观察 30 天，确认没有异常再彻底回收。
2.4 身份审计与合规：闭环的最后一步
审计不是「查作业」，而是「看证据」。合规也不是「应付检查」，而是「证明你做了该做的事」。
我个人习惯把审计分成三个层次：
- 实时审计：每次身份变更、权限授予、登录尝试，都生成审计日志。不能事后补。
- 定期审查：每季度做一次权限盘点，找出「孤儿账号」「僵尸权限」「过度授权」。
- 合规报告：针对 SOX、GDPR、ISO 27001 等标准，生成合规性报告。
审计的核心问题：谁能证明「这个账号的权限是经过审批的」？如果拿不出审批记录，那就是违规。
这里我分享一个避坑指南：审计日志不能只存「谁做了什么」，还要存「谁批准了什么」。我曾经审计一家供应商，发现他们的权限审批记录全是邮件，而且邮件没有归档……结果合规审查时根本拿不出证据，被罚了 50 万。
合规方面，我建议关注几个关键指标：
- 账号存活率：活跃账号 / 总账号，低于 60% 说明僵尸账号太多。
- 吊销延迟：从触发吊销到实际吊销的平均时间，超过 24 小时就是高风险。
- 权限漂移：实际权限与基线权限的差异，差异越大风险越高。
一个小技巧：用「身份健康评分」来量化管理。每个账号根据权限合规性、活跃度、变更频率打分，低于 60 分的自动触发审查流程。我在项目中用过这个方法，效果很好，管理层一眼就能看出问题。
最后说一句：身份生命周期管理不是一次性的项目，而是持续运营的流程。你想想看，供应链里的人员流动、供应商变更、权限调整，每天都在发生。如果生命周期没有闭环，那身份管理就是「管了个寂寞」。