®
01
可靠处理入职、岗位变动与离职
人力资源数据的权威系统会发出账户创建、角色变更和离职等事件。账户开通可以通过 SCIM 或受支持的连接器实现；并非每个目标系统都支持相同的功能。我们会测试账户停用、用户组变更，以及对已存在会话的处理方式。传输失败时，差异必须清晰可见。通过定期审查确认哪些权限仍属必要，而不是让用户组成员资格无限累积。
您对 OTOKO® 的委托
我们为您承接的工作。
单点登录解决的是“谁在登录”的问题。而这个人在 ERP 或 CRM 中可以做什么，还需要由相应的权限模型另行规定。我们会梳理角色、特权操作以及必要的职责分离要求。支持的应用通过 SAML 或 OpenID Connect 完成对接。多因素身份验证方式和访问条件依据保护需求确定。现有的本地应急账户需要有文档记录并加以受控管理。
可能的服务范围
- 权限方案，按系统划分角色并实现职责分离
- 通过 SAML 和 OpenID Connect，为 ERP、CRM、内网和工作流实现单点登录
- 使用 FIDO2 实现多因素认证，并配合条件访问策略
- 通过 SCIM 与人力资源系统对接，实现自动化用户管理
- 权限重新认证，并为审计提供日志记录
具体范围、您的参与方式以及验收标准，我们会在项目开始前明确约定。
把技术讲清楚
我们是这样落实任务的。
02
检查锁定场景与残留访问权限
验收包括针对不同角色进行的正向和负向访问测试。我们还会测试身份服务发生故障的情况，以及约定的应急访问方式。文档中会明确业务审批和技术管理各自的职责归属。如能提供应用清单、现有角色以及典型的入职、岗位变动和离职案例，将很有帮助。
一个可验证的成果
这将成为您后续工作的基础。
- 权限方案，含职责分离设计
- 已对接的系统，配备 SSO 和多因素认证
- 重新认证流程，附审计日志
移交环节将实施成果与文档记录结合在一起。我们会共同检查约定的场景，并记录尚待完成的任务。
在迈出第一步之前
您关于 身份与访问 的问题。
SSO 能否自动防止权限过大？
不能。集中登录简化了身份管理，但无法替代对目标系统中权限的审查。
离职能否立即终止所有会话？
这取决于会话管理方式以及各应用的对接能力。我们会评估这些限制，并记录仍然存在的时间窗口和应对措施。
