角色管理

概述

在企业中访问控制的范围取决于员工所扮演的角色，角色中包含已确认的职能访问行为和能力，悦库企业网盘默认创建了：文件管理员、人事管理员、文件主管、人事主管、普通员工 5个基础角色，每个角色根据其包含的职责有不同的访问能力，同时管理员也可以自定义角色，自定义角色具有单位隔离特性，只能本单位人员才能查看和使用。

例如：单位人事主管角色用于管理单位内部的人员，拥有对人员/部门的创建、编辑和删除等人事相关操作权限。

组织和人员都可以拥有角色，一个组织/人员可以同时拥有多个角色，如下图是一名部门主管人员可能拥有的多个角色：

角色级别

角色按权力级别分为：管理员角色、主管角色、普通角色。管理人员不能创建高于自身角色级别的新角色，当为其他人指派角色时，被指派角色行为集必须是当前管理者自身角色的行为集的子集，这样可以防止角色恶意提权问题。

由系统创建的默认角色，其中1、2级为管理角色，3级为普通角色：

1级管理员角色

1级管理员角色只能隶属于总部之下，按职责分为文件/人事管理员，管理员角色可以查看整个组织。

文件管理员，可以管理系统中的所有文件，可以查看系统中的所有单位、部门和人员。

人事管理员，可以管理系统中所有下属单位以及下属单位中的部门和人员、管理本单位角色和公共角色，拥有人事管理最高权利，但只拥有人事权利，无管理文件权利。

2级主管角色

2级主管角色，管理的具体组织范围，根据指派角色时为其绑定的单位/部门而定。

文件主管，可以管理绑定单位/部门中的所有文件，可以查看当前单位中的所有部门和人员。

人事主管，可以管理绑定单位/部门中的所有部门和人员、管理角色，无管理文件权限。

运维主管，对系统进行运行管理维护，无其他管理权限。

3级普通角色

普通员工，可以在授权范围内对文件进行操作，默认仅可以访问本单位内组织，经过授权可以访问其它单位组织。

职责分离

职责分离是确保单个人员不具备完成恶意行为的所有必要权限的一种策略。

最常见的⽰例是：财务工作中的发起⽀付和授权⽀付操作，任何⼀个⼈员都不应该能够同时拥有这两种权限。

在文件管理领域中以FTP服务器为例：运维人员的职责是系统运行维护，却可以超出自身职责，直接查看FTP服务器上的所有企业文件(本应属于文件管理职责)，运维人员的职责不明确，将为企业文件增加泄露风险。

管理角色按职责分为职能管理和文件(业务)管理。人事管理和运维管理属于职能管理，人事管理角色只负责管理组织和人员，运维管理角色则只负责管理系统运维相关工作，职能管理角色不参与对文件访问权限的管理。文件管理角色专门负责组织内的文件(业务)管理，不参与组织的职能管理。

角色的操作

1. 添加和列表

管理员添加角色时应优先选择添加系统默认角色，这种角色由系统自动创建，添加后可直接使用。当前系统默认角色不满足需求时，可以添加自定义角色，添加自定义角色时需要自行选择角色拥有的的职能行为。

[插图]

角色添加后，可以在角色列表中显示，同时该列表也会展示 角色被指派的人员/组织、所属单位、创建者等信息。

2. 编辑和删除

管理员可以对角色执行编辑和删除操作，操作目标角色的职能行为必须在管理员自身已拥有职能行为范围内，且操作目标角色的级别不能高于管理员自身拥有的角色级别，以避免越权行为。