清华大学IAM建设：身份与访问管理系统实践

"清华大学在信息化建设中着重关注身份与访问管理（IAM）体系的构建，旨在确保正确的人在正确的时间以正确的方式访问正确的资源。这涉及到身份确认、授权、控制和审计等多个方面。IAM是Identity and Access Management的缩写，主要处理'谁能在何时何地访问何种资源以及如何访问'的问题。在高校环境中，用户身份生命周期强，数量庞大且复杂，因此构建有效的IAM系统显得尤为重要。 清华大学的身份与访问管理体系建设包括以下几个关键部分： 1. 用户身份管理：集中管理用户身份的全生命周期，实现单点登录，确保用户在不同应用系统间的无缝切换。 2. 授权管理：统一角色与权限平台，使得用户对信息资源的访问得到统一管理和控制，支持跨应用业务流程整合。 3. 审计：建立身份与访问审计体系，对用户身份、授权和访问行为进行实时和历史记录，确保可追溯性和监控性。 4. 发布与用户自服务系统：通过信息服务和目录服务发布身份与权限信息，同时提供用户自我维护和查询功能。 在建设过程中，清华大学采用开源框架并进行自主开发，构建了统一用户平台，该平台包括： - 统一用户管理：集中管理所有用户的电子身份。 - 统一用户认证：确保用户身份验证的一致性和安全性。 - 单点登录支持：用户只需一次登录即可访问多个系统。 - 用户相关服务：提供各种与用户身份相关的支持。 用户电子身份管理部分，清华大学实施了严格的账号管理策略，定义了每个用户类别的唯一源头，并允许局部账号在特定业务系统中存在。这种精细化的管理方式有助于提高安全性和效率，同时满足了高校复杂环境下的信息化需求。 通过清华大学的这一项目，我们可以看到身份与访问管理在大型机构信息化进程中的核心地位，它不仅提高了信息安全管理的效率，还为用户提供了更加便捷和安全的访问体验。这一建设模式对于其他高校或大型组织的信息化改革具有重要的参考价值。"