3. 账号资产测绘

账号资产测绘的目标，是把散落在各类系统中的账号记录汇聚成一份可治理的账号资产台账，并为每个自然人建立唯一身份标识。它解决的不是“有哪些系统”，而是“谁在哪些系统里拥有什么账号”。如果缺少这一步，后续的权限分析、离职清理、特权账号治理都会失去基准。

一、五类数据源的定位与提取内容

账号清单通常来自五个方向，它们各自回答不同问题，不能互相替代：

• HR 系统：提供“人”的权威来源，包括员工编号、姓名、部门、岗位、入职日期、离职日期、用工类型（正式/外包/实习）。它是判断账号是否应存在、是否应停用的基准。
• ITSM：提供账号的“生命周期事件”，如入职开通工单、转岗权限变更、离职回收工单、临时权限申请。它记录了账号为什么被创建、何时应被回收。
• CMDB：提供“系统与账号的归属关系”，包括业务系统清单、系统负责人、系统承载的账号类型（本地账号、域账号、数据库账号、服务账号）。
• 云平台：提供 IAM 用户、角色、访问密钥（AK/SK）、委托授权等云上身份实体，是特权与外部暴露风险的高发区。
• 业务系统：提供应用自身的账号表，如 OA、ERP、CRM、代码仓库、堡垒机、数据库中的实际登录账号。

提取时建议统一字段口径，至少包含：账号名、账号类型、所属系统、系统负责人、关联人员标识、账号状态、创建时间、最近登录时间、权限标签。示例提取片段如下：

source=HR
emp_id=E10231, name=张伟, dept=财务部, status=在职, hire=2021-03-15

source=ITSM
ticket=INC20240512, emp_id=E10231, action=开通ERP账号, system=ERP, state=已完成

source=CMDB
system=ERP, owner=李强, account_type=本地账号, critical=高

source=云平台
iam_user=zhangwei, ak_count=2, role=FinanceReadOnly, last_login=2024-05-01

source=业务系统
system=ERP, login=zhangwei, status=启用, last_login=2024-05-10

二、唯一身份标识的建立方法

不同系统的账号名往往不一致，例如 HR 中是工号 E10231，云平台是 zhangwei，业务系统可能是 zw123。要建立唯一身份标识，核心是找到“稳定且唯一”的锚点。推荐以 HR 的员工编号作为主键，生成统一身份标识 UID，例如 UID:EMP-E10231。对于外包、共享账号、服务账号等无自然人对应的情况，单独建立非人类身份标识，如 UID:SVC-ERP-BATCH01。

映射过程分三步：先做精确匹配（工号、邮箱前缀），再做模糊匹配（姓名+部门），最后人工确认。匹配结果要记录置信度，低置信度必须人工复核，避免把两个同名员工合并成一个人。

三、账号资产测绘流程

下面这张图展示了从五类数据源提取账号、归一化字段、匹配唯一身份标识，最终形成账号资产台账的完整数据流。

四、结果判读与常见问题

测绘完成后，台账应能回答三个问题：每个在职人员对应哪些账号；每个账号属于哪个系统、由谁负责；哪些账号缺少 HR 关联或状态异常。常见的异常包括：HR 已离职但账号仍启用、账号存在但无对应人员、同一人多个账号名未映射、云平台 AK 长期未轮换。这些异常应作为后续治理的输入。

建议每轮测绘输出一份可核对的账号资产台账，字段至少包含 UID、账号名、系统、账号类型、状态、关联人员、负责人、最近登录时间、置信度。对低置信度记录单独列出，交由系统负责人确认。这样，账号资产测绘才真正成为身份攻击面治理的可靠起点。