如何精细审查系统权限,有效避免越权风险?

1. 简介

1.1 案例简介

本文将提供一套全面的简道云系统权限审查方案,旨在帮助管理员高效排查系统三大权限(包括通讯录权限、应用/表单/仪表盘编辑权限、数据权限)是否与实际业务需求相符,从而识别并及时应对潜在的权限风险。

1.2 适用场景

权限审查方案着重解决以下两大核心问题,帮助提升权限管理的效率和准确性:

  • 权限体量大,管理难度高:面对大量的权限数据,有限的管理员很难清晰掌握每个成员的权限配置;
  • 权限维护困难,响应滞后:组织结构调整、成员职责变动等要求及时更新权限配置,但权限庞大且分散,管理员难以快速定位并调整,影响企业运营效率,导致数据安全风险增加。

并可适用于如下权限管理场景:

  • 定期审查:企业要求定期盘点简道云的权限配置,包括:管理员、权限组等;
  • 主动排查:信息化部门主动排查权限问题,及时发现并修正潜在的权限风险;
  • 组织架构与人员变动:架构或人员调整时,需调整相应权限配置,并确保权限变更的准确性和安全性。

2. 审查通讯录管理权限

通讯录管理权限是指,添加管理员的权限和对部门/角色/互联组织的可见可管理权限。在审查通讯录权限时,可分别从管理员成员的角度出发,具体如下表所示:

权限分类

审查工具

审查目的

审查执行人员

管理员的通讯录管理权限

确保管理员可以管理的通讯录范围合理

  • 系统创建者
  • 系统管理员

成员的通讯录可见可选权限

部门/成员字段 可选范围

成员可以查看/选择的通讯录成员范围合理

  • 系统管理员
  • 普通管理员
  • 应用管理员
  • 表单管理员

2.1 管理员的通讯录管理权限

通过如下步骤,可审查各管理员所拥有的通讯录管理权限是否合理:

1)在「企业管理 >> 管理组查询」处,可以从管理员和应用权限范围的角度,查询系统内的所有管理组,包括系统管理组、普通管理组和应用管理组。

2)点击查询结果中的「编辑」按钮,即可查看某一管理组下的管理员所拥有的通讯录管理权限,检查是否存在不合理的权限配置,如越权、权限冗余、权限不足等。并可在发现不合理配置时,直接在当前页面进行调整。

2.2 成员的通讯录可见可选权限

成员的通讯录可见可选权限是指,成员在填写表单时,通过成员/部门字段可选择到的通讯录范围。审查权限时,需确保可选范围设置合理,使成员只能选到合适的部门或成员,避免误选或越权操作。具体如下:

进入表单编辑页面,在 部门字段成员字段「字段属性 >> 可选范围」内,检查或调整可选范围设置:

2. 审查应用/表单/仪表盘编辑权限

审查应用/表单/仪表盘编辑权限时,需确保管理员所拥有的编辑权限符合实际业务需求。具体如下:

权限类型

权限说明

审查目的

审查对象

审查执行人员

应用编辑权限

指搭建一个完整应用过程中需要拥有的权限,包括应用设置、表单/流程/仪表盘编辑权限等

审查其拥有的应用编辑、可添加/删除权限是否合理

普通管理员

应用管理员

系统管理员

表单/仪表盘编辑权限

指特定表单/仪表盘的管理权限,包括设计、发布等

审查其拥有的表单/仪表盘编辑权限是否超出业务需要

表单管理员

系统管理员

普通管理员

应用管理员

1)在「企业管理 >> 管理组查询」处,可从管理员和应用权限范围的角度,查询得到如下内容:

  • 某一管理员拥有哪些应用/表单/仪表盘的编辑权限
  • 某一应用/表单/仪表盘的编辑权限被赋予了哪些管理员

2)确认查询结果是否与实际职责相符,若存在不合理的权限配置,可直接在当前页面内调整权限配置。

3. 审查数据权限

数据权限是指,成员是否有权访问表单/仪表盘,以及访问时能够执行的各种操作,如编辑、删除、添加数据等。

审查权限时,需确保各成员可见(即可访问)可操作的数据范围合理,防止数据泄露。具体工具和步骤如下:

权限分类

审查工具

审查目的

审查执行人员

所有应用内的数据权限

权限组查询

确保系统内所有应用中各成员可见(即可访问)可操作的数据范围合理,防止数据泄露

系统创建者

系统管理员

单个应用内的数据权限

应用管理后台-表单/仪表盘权限

确保单个应用中各成员可见(即可访问)可操作的数据范围合理,防止数据泄露

普通管理员

应用管理员

2.1 所有应用内的数据权限

通过如下步骤,可审查各成员所拥有的数据权限是否合理:

1)在「企业管理 >> 权限组查询」处,可以根据成员、部门、角色和应用查询系统内的所有权限组。以查看某一成员 Lucy 所在的所有权限组为例,效果如下所示:

2)当权限组设置不符合实际需求时,可点击查询结果中的「调整成员」或「调整权限」按钮,直接在当前页面调整成员或数据操作权限等。

2.3 单个应用内的数据权限

通过如下步骤,可审查成员所拥有的数据权限是否合理:

1)进入「应用管理后台 >> 表单/仪表盘权限」,可以查看该应用内所有表单和仪表盘的权限组设置,检查已赋予成员的数据权限是否合理。如:

  • 是否有无关人员被赋予权限;
  • 是否有表单/仪表盘未发布;
  • 每个权限组的数据操作权限是否合理…

2)根据审查结果,对不合理的权限设置进行优化和调整即可。以调整权限组中的操作权限为例,步骤如下所示:

文档内容是否对您有帮助?
有帮助
没帮助没帮助
如需获取即时帮助,请联系技术支持
咨询
扫码领取100+零代码资料简道云官方微信号400-111-0890
图标在线咨询
立即体验