4. 自动化治理工具链选型

身份治理自动化很少由单一产品完成。一个可落地的治理闭环通常同时涉及五类工具：IGA 负责身份生命周期与访问权限的合规决策，CIEM 负责云上权限与权限使用情况的分析，PAM 负责特权账号与特权会话的管控，工作流引擎负责把审批、复核、通知、工单等动作串起来，配置管理工具负责把身份与权限状态同步到实际系统。选型的关键不是比较功能清单，而是先划清职责边界，再设计集成方式。

一、五类工具的职责边界

IGA（Identity Governance and Administration）的核心对象是“人—账号—权限—应用”的治理关系。它回答的是：谁在什么时间、基于什么理由、获得了哪个系统的什么权限，是否仍然需要。典型能力包括入职/转岗/离职的 Joiner-Mover-Leaver 流程、访问申请与审批、权限复核（Access Review）、职责分离（SoD）检测、角色与策略建模。IGA 通常不直接修改目标系统的账号，而是通过连接器或下游工具执行变更。

CIEM（Cloud Infrastructure Entitlement Management）聚焦云基础设施中的身份与权限，例如 AWS IAM Role、Azure Entra ID 应用权限、GCP Service Account。它回答的是：云上实际授予了哪些权限、哪些权限从未被使用、哪些权限组合构成高风险。CIEM 的强项是权限发现、有效权限计算、未使用权限识别和最小权限建议，但它通常不负责员工入离职流程，也不管理本地特权账号。

PAM（Privileged Access Management）管理的是高权限账号、凭据和会话。它回答的是：谁能使用管理员账号、凭据如何保管与轮换、特权操作是否被记录和可审计。典型能力包括密码保险库、会话代理、命令级审计、即时提权（JIT）和审批后临时授权。PAM 不负责普通业务权限的申请审批，也不做云权限的全面分析。

工作流引擎负责“动作编排”。它不持有身份数据，也不做权限判断，而是把 IGA 的审批结果、CIEM 的风险发现、PAM 的提权请求转化为可执行的任务序列，并处理重试、超时、补偿和人工介入。常见实现包括 Camunda、Temporal、n8n，以及 IGA 产品内置的流程引擎。

配置管理工具（如 Ansible、Terraform、Chef、Puppet）负责“状态落地”。它把身份与权限的目标状态同步到服务器、应用配置、云资源和本地账号中。它擅长幂等执行和批量变更，但不做治理决策，也不保存审批记录。

二、集成方式：以事件与状态为中心

五类工具之间不应两两直连形成网状集成，而应围绕“身份事件”和“目标状态”两条主线组织。推荐的做法是：IGA 作为身份与权限决策中心，输出标准化的身份事件；工作流引擎订阅事件并编排任务；配置管理工具和 PAM 作为执行端接收任务；CIEM 作为云侧风险与权限数据的回传方，把发现结果写回 IGA 或工作流引擎，触发复核或收敛。

下面这张图展示了五类工具在一条典型“员工转岗”治理链路中的位置、数据流向和职责分工。图中实线表示控制/任务流，虚线表示数据回传与状态同步。

三、选型时的关键判断点

第一，先确认“决策权”归属。如果组织已有 IGA，则权限申请、审批、复核应以 IGA 为准，CIEM 和 PAM 作为数据源和执行端接入；如果没有 IGA，可以用工作流引擎加配置管理工具搭建轻量治理链路，但需要自行承担角色建模和复核记录。第二，确认“执行边界”。配置管理工具适合批量、幂等的系统状态同步，PAM 适合特权凭据和会话，二者不应互相替代。第三，确认“数据回传路径”。CIEM 的未使用权限、PAM 的特权会话记录必须能回到 IGA 或工作流引擎，否则治理链路只有“下发”没有“反馈”，无法形成闭环。

四、一个可参考的集成配置片段

以下示例展示工作流引擎如何根据 IGA 输出的转岗事件，分别调用配置管理工具和 PAM。参数为教学示例，实际字段需按产品 API 调整。

{
  "event": "identity.role.changed",
  "subject": "user:zhangsan",
  "from_role": "sales_rep",
  "to_role": "sales_manager",
  "effective_date": "2025-06-01",
  "tasks": [
    {
      "type": "config_management",
      "tool": "ansible",
      "playbook": "sync_app_roles.yml",
      "target_group": "crm_users",
      "action": "add",
      "role": "crm_manager"
    },
    {
      "type": "pam",
      "tool": "vault",
      "action": "revoke_credential",
      "credential_id": "svc_crm_admin",
      "reason": "role_change"
    },
    {
      "type": "iga",
      "action": "create_review_task",
      "reviewer": "manager:lisi",
      "due_days": 7
    }
  ]
}

执行后应观察三个结果：配置管理工具返回的目标系统角色是否与 IGA 目标权限集一致；PAM 中旧角色的特权凭据是否已回收；IGA 中是否生成了复核任务并在 7 天内完成。若配置管理执行成功但 PAM 回收失败，工作流引擎应触发补偿或人工工单，而不是直接标记完成。