1. IAM自动化治理全景
在企业信息化早期，账号往往由各业务系统自行创建，员工入职时由主管口头通知，离职时靠邮件提醒。随着系统数量增长，这种“人治”模式迅速失效：一个员工可能同时拥有ERP、CRM、代码仓库、云平台、VPN等十余套账号，权限散落在不同系统中，谁拥有什么权限、权限是否合理、离职后是否已回收，几乎无人能准确回答。IAM（Identity and Access Management，身份与访问管理）自动化治理，正是为了解决这类问题而出现的系统性方法。
身份治理的核心挑战
身份治理的困难，首先来自“身份”本身的分散性。同一个人在不同系统中可能是zhangsan、zhang.san、工号100238或邮箱前缀，缺乏统一标识时，权限审计只能靠人工比对。其次是权限的累积性：员工在岗位轮换、项目借调、临时授权过程中不断获得新权限，却很少主动归还旧权限，形成“权限膨胀”。第三是生命周期的滞后性：入职账号开通慢、离职账号回收慢，都会带来安全与效率的双重损失。
更隐蔽的挑战是“权限与职责的错配”。例如财务人员同时拥有付款申请与付款审批权限，就构成职责分离（SoD）冲突；开发人员拥有生产数据库的写权限，则可能绕过发布流程直接改数据。这类问题在静态权限表中不易发现，需要结合角色、岗位、业务规则进行持续分析。
自动化治理的价值
自动化治理的价值可以概括为三个层面。第一是效率：将账号开通、权限申请、审批、回收等重复性工作交给流程引擎和连接器，把人工从跨系统操作中解放出来。第二是准确性：通过统一身份源和规则引擎，减少漏回收、错授权、重复账号等问题。第三是可审计性：每一次授权、变更、回收都有记录，能够回答“谁在什么时候、基于什么依据、授予了谁什么权限”。
以一个典型场景为例：员工入职时，HR系统新增一条记录，自动化治理平台监听到事件后，根据岗位“销售代表”匹配角色模板，自动在CRM中创建账号并授予“客户查看与订单创建”权限，同时生成一次审批记录。员工转岗为“销售经理”时，平台识别到岗位变化，自动追加“折扣审批”权限并回收不再需要的“订单创建”权限。离职时，HR状态变为“离职”，平台在预设时限内禁用所有关联账号并保留审计日志。整个过程无需人工逐系统操作，但每一步都有据可查。
策略编排的定位
如果说自动化治理解决的是“把重复动作交给机器”，那么策略编排解决的是“让机器按正确的规则和顺序行动”。策略编排位于身份数据、业务规则与目标系统之间，负责把治理意图翻译成可执行的流程。它通常包含四类要素：
- 触发条件：如HR事件、定时任务、权限申请、风险告警。
- 判断规则：如岗位匹配、SoD冲突检测、审批阈值、风险评分。
- 执行动作：如创建账号、授予角色、发送审批、回收权限、通知责任人。
- 异常处理：如连接器失败重试、审批超时升级、冲突人工复核。
策略编排不是简单的“如果……就……”。真实场景中，一个离职事件可能同时触发账号禁用、权限回收、设备解绑、数据交接、审计归档等多条并行分支，分支之间还有先后依赖和失败补偿。因此，编排能力决定了自动化治理能否从“单点脚本”走向“可运营的平台”。
课程路线图
本课程围绕“自动化治理”与“策略编排”两条主线展开，整体分为四个阶段。第一阶段建立全景认知，理解身份治理的挑战、自动化治理的价值以及策略编排的定位，也就是本章的内容。第二阶段深入身份数据与权限模型，包括统一身份目录建设、角色建模、权限分析与SoD冲突检测。第三阶段进入策略编排的实操，涵盖触发条件设计、规则判断、动作编排、异常处理与连接器集成。第四阶段面向运营与优化，讨论审计报表、风险监控、治理指标以及持续改进方法。
学习过程中建议始终带着一个具体场景思考：假设你所在组织有500名员工、20套业务系统，入职、转岗、离职每月发生约30次，当前账号开通平均耗时2天，离职回收平均滞后5天。随着课程推进，你可以逐步为这个场景设计身份目录、角色模板、编排流程和审计报表，最终形成一套可落地的自动化治理方案。