共计 2558 个字符，预计需要花费 7 分钟才能阅读完成。
前言
“小人和而不同，君子同而不和。”– 孔子
咱们认为，对于任何一个有研发诉求的企业，账号体系都是须要尽早思考、慎重对待，且不应该随便变更的。
问题类型
研发团队在设计账号体系和治理账号的时候常常会遇到各种问题，比方：
问题 1：
业务在变动，组织也要随时调整，导致与之相应的账号权限也要频繁调整：
在企业业务高速倒退的大背景下，为了适应业务变动，企业的组织架构常常会进行调整，研发人员也会在不同的业务中来回切换，甚至在不同的业务中会承当不同的角色。因而，设计账号体系的时候，须要思考账号权限能灵便调整、即时失效，防止因为权限缺失妨碍研发流动，或是因为权限泛滥引起平安危险。
问题 2：
研发流动中存在多种角色，一个账号也蕴含多个角色，账号与角色的对应关系不好保护：
古代研发体系下，一次需要交付波及多个角色，比方产品经理、后端开发、前端开发、UED、测试、利用运维等，不同的角色有不同的关注视图和权限，而同一个账号又会承当多个角色，比方同时承当后端开发与利用运维的工作。因而，账号与角色的对应关系是多对多，且会随着业务变动的，如何无效保护，也是一个须要思考的问题。
问题 3：
不同的工具有各自的账号零碎，须要别离对接，且常常须要保护以适应组织调整和员工变动：
为了保障业务的高效演进，企业须要购买和自研大量的工具和零碎，为了让这些零碎协同工作，须要进行账号体系的对接，并且保障组织的调整和人员的变动，能及时同步到这些零碎上，防止数据不统一带来的合作问题。因而，企业的账号体系须要做到惟一起源，标准化接入。
咱们举荐的企业账号体系应该满足如下几点要求：
- 企业的所有角色都有惟一的账号治理起源
- 企业的各个系统（包含研发零碎与个别业务零碎）的账号对立且互通
- 企业能够治理和保护本人的组织架构，并能依据组织架构在各个系统中管理权限
- 企业能够定义和治理研发流动中的各种角色，为每种角色定义权限
- 企业能够通过为账号配置角色来管制账号权限
- 企业的各类研发资产都能纳入权限治理，并能被角色治理
咱们基于阿里云的产品，来具体看一下如何建设合乎上述要求的企业账号体系。
以钉钉为核心的账号体系
对于没有过多历史包袱，或者曾经在应用钉钉的企业，咱们举荐以钉钉为核心的账号体系。
在这一账号体系下，企业所有成员（包含研发团队与业务团队）都在钉钉上建设和治理组织架构。研发成员通过钉钉认证登录零碎，获取成员在零碎中的角色信息，依据所属角色的权限进行研发流动。
因而，从施行的角度，企业基于钉钉建设研发账号体系蕴含 4 个步骤：
1. 企业基于钉钉治理组织构造
第一步是注册钉钉并创立或关联已有企业，接下来在钉钉中治理企业的组织构造，包含人员和团队信息等，请参考钉钉企业通讯录治理，这里不作赘述。钉钉账号将成为企业成员的惟一认证起源，企业的各个系统都能够和钉钉买通，请参考钉钉利用接入指南实现企业各个系统的接入。
至此，对于研发团队来说，次要的两个诉求还都无奈满足：
- 受权和治理云上的资源（如 ECS、ACK 等）
- 买通整个研发工具链
为了解决这两个问题，咱们须要将钉钉与云效集成起来，通过集成，能够实现：
- 同步组织架构和成员到云效中
- 通过钉钉音讯进行研发合作
- 集成钉钉文档到云效中
- 应用钉钉中的云效小程序
2. 云效绑定企业钉钉
集成的第一步是云效企业的管理员须要将云效绑定企业钉钉，实现组织架构和成员同步。具体操作步骤能够查看企业绑定 - 实现组织架构和成员同步。这里把次要步骤阐明一下。
- 企业钉钉管理员在钉钉中装置云效应用，抉择正确的组织和应用范畴（是全员还是某个团队）。
- 云效企业管理员在钉钉的云效应用中绑定钉钉企业和云效企业，管理员如果未绑定阿里云账号的话，须要先实现
- 员工钉钉账号治理阿里云账号
操作再返回持续。管理员在钉钉云效应用中实现云效企业绑定，如下图。
3. 员工钉钉账号关联阿里云账号（主账号、RAM 账号）
阿里云有本人的账号体系，而这些账号又跟云上资源的操作权限相干，为了保障权限的无效隔离，云效要求员工应用钉钉账号认证前先绑定阿里云账号。
阿里云账号分为主账号和 RAM 账号，对于 RAM 能够查看什么是访问控制。如果不确定，对于企业员工，咱们倡议抉择 RAM 账号。
实现绑定后，员工就能够通过钉钉扫码登录云效了。
4. 配置云效企业角色和角色权限
咱们举荐按角色管理权限，将人与角色离开，为不同的角色定义不同的权限。
4.1，定义企业全局角色，默认企业角色分为：拥有者、管理员、成员和内部成员，能够依照本身特点增加和调整角色权限。
4.2，定义利用交付平台 AppStack 的企业角色权限。所看到的企业角色都来自于企业全局角色，然而能够为其定义利用交付平台特有的全局权限，见下图。留神，这里的权限是针对于所有利用的。
4.3，定义利用交付平台 AppStack 的利用角色权限，这些权限只针对某个具体利用。AppStack 定义了 5 种利用角色：利用拥有者、利用负责人、开发、测试和运维，能够依据须要调整每种角色的权限。
4.4，为每个利用成员配置对应的角色。
总结
在古代组织中，业务相干的研发人员都有两个维度的角色：一是组织职能角色，一是业务角色。其中组织职能角色是绝对稳固的，而业务角色是在一直变动的。咱们举荐以钉钉为外围治理组织账号和组织架构，将云效与钉钉绑定，做到对立登录、对立治理。同时，定义不同的角色，并依照利用维度为不同的人员配置对应的角色，做到按 利用保护角色、按角色管理权限。
延长内容
以现有外部账号零碎为核心的账号体系：
很多企业，尽管独立的软件开发团队创立不久，但企业外部 IT 零碎曾经运作很长时间了，有本人的账号管理体系（如 LDAP），或者因为网络安全等起因，权限认证必须在自有网络中实现。这种状况下，间接切换到钉钉这样的零碎的老本比拟高，而企业又心愿与云上研发的工具和资源买通。对此，咱们倡议配合阿里云 iDaaS 一起应用，具体计划详见 iDaaS 的阐明，本文不再赘述。
参考
云效 2020- 同步钉钉成员
云效 2020- 角色权限治理
云效 2020-AppStack 角色权限
钉钉 - 企业通讯录治理
钉钉 - 受权服务商开发
什么是 IDaaS
对于咱们
理解更多对于云效 DevOps 的最新动静，可微信搜寻关注【云效】公众号；
福利：公众号后盾回复【指南】，可取得《阿里巴巴 DevOps 实际指南》&《10 倍研发效力晋升案例集》；
看完感觉对您有所帮忙别忘记点赞、珍藏和关注呦；
