深航统一身份管理平台｜构建企业级身份治理中枢

时代背景下的必然选择

在航空运输业高度依赖信息化、精准化与安全性的今天，深圳航空的IT架构已从早期的单机应用，发展为涵盖飞行运行控制、机组资源管理、市场营销、客户服务、财务结算、后勤保障等数十个关键系统的复杂生态。传统“一系统一账号”的分散式身份管理方式，已难以应对日益增长的用户规模、权限复杂性与安全威胁。

深航统一身份管理平台正是在此背景下应运而生的核心IT基础设施，其本质是将身份从“应用附属品”转变为“企业核心资产”，通过标准化、集中化、自动化的身份全生命周期管理，实现“一处变更，全网同步”的治理目标。这不仅是技术架构的升级，更是管理理念与运营模式的深刻变革。

平台建设标志着深航IT治理从“点状防护”迈向“体系化治理”，从“被动响应”转向“主动防御”，为智慧企业建设筑牢数字底座。据民航局《网络安全等级保护基本要求》明确指出，关键信息基础设施运营者应建立统一身份认证与访问控制机制。深航统一身份管理平台的部署，正是落实该要求的关键举措。

战略目标：三位一体的治理框架

安全可控：构建“零信任”框架下的第一道防线。平台通过强制多因素认证、动态密码策略、异常行为告警等机制，杜绝凭证泄露、权限滥用等风险，确保只有合法用户在合法设备、合法时间访问合法资源。

高效协同：实现“一次认证，全网通行”。通过单点登录（SSO）技术，员工无需重复登录OA、邮件、航班调度、排班系统等数十个应用，大幅减少操作负担与密码记忆压力，提升一线人员响应效率与用户满意度。

合规可信：满足《网络安全法》《个人信息保护法》《民航网络安全管理办法》等法规要求。平台提供完整的身份操作日志、访问行为审计、权限变更留痕等功能，为内外部审计、安全检查提供可追溯、不可篡改的数据支撑。

用户覆盖与应用场景

平台服务对象覆盖三大类主体：

• 内部员工：包括飞行员、机务工程师、签派员、乘务员、地服人员、行政与管理人员等近两万人，实现按岗位、职级、部门的精细化权限管理。
• 外部合作伙伴：如地服代理、航食供应、油料保障、航材供应商等，通过受限访问通道，实现安全协同。
• 系统设备身份：如飞行数据终端、地面保障设备、机载系统接口等，通过设备证书与API身份认证，保障系统间通信安全。

典型应用场景包括：机组人员跨系统快速调阅航班计划、天气信息与维修记录；机务工程师实时访问维修工单与航材库存；财务人员一键完成票款结算与对账；安全管理人员实时审计高风险操作行为。

身份供给与生命周期管理

平台与深航人力资源信息系统（HRIS）深度集成，实现员工入职、转正、调岗、离职等异动的自动化身份同步：

• 自动创建：员工入职后，HR系统触发事件，平台自动为其分配主账号、分配初始密码、创建组织架构信息，并按岗位预设角色批量授予基础权限。
• 动态调整：员工转岗时，系统自动移除原岗位权限，增加新岗位所需权限，确保“权责匹配”；跨部门调动时，支持权限继承与增量调整。
• 自动禁用：员工离职当日，平台即刻冻结其所有账号，清除本地缓存凭证，并通知关联系统同步失效。彻底杜绝“僵尸账号”风险，历史数据显示，该功能使权限残留事件下降98%。

平台支持灵活的组织模型映射，可定义“岗位—角色—权限”三层结构。例如，“机务工程师”角色自动关联“飞机维修系统”“工单系统”“航材库存系统”的读写权限，而“高级工程师”角色则额外获得“维修方案审批”权限。

集中认证与多因素认证（MFA）

平台作为统一认证入口，支持多种认证方式组合：

• 基础认证：用户名+密码，密码策略强制复杂度（8位以上、大小写+数字+特殊字符）、定期更换（90天）。
• 动态令牌：集成短信验证码、邮箱动态口令、硬件令牌（如YubiKey），用于高风险操作（如财务支付、权限修改）。
• 生物识别：在移动APP端支持指纹/面部识别登录，提升一线员工操作便捷性。
• 智能自适应认证：平台根据登录地点（是否为常用地）、设备指纹（是否为注册设备）、时间（是否为工作时段）、行为模式（是否为常规操作）动态评估风险等级，对高风险请求触发二次认证。

单点登录（SSO）基于OAuth 2.0与OpenID Connect标准协议实现，用户登录一次后，在30分钟内访问所有已集成应用均无需重复认证，会话超时自动登出。

集中授权与访问控制

平台采用RBAC（基于角色）与ABAC（基于属性）相结合的混合授权模型：

角色权限模型：

• 系统角色：预定义角色如“系统管理员”“安全审计员”“普通用户”“访客”等。
• 业务角色：按岗位定义如“签派员”“乘务长”“机务主管”“财务专员”等，每个角色关联多个权限项。
• 动态角色：支持临时授权，如“某航班保障专项小组”角色，任务结束后自动失效。

属性权限控制：

• 支持基于时间（工作时间/非工作时间）、地点（公司内网/远程办公）、数据敏感度（公开/内部/秘密/机密）等多维属性进行细粒度授权。
• 例如：财务人员仅可在工作时间从内网访问“财务系统”，但若身处境外IP，系统自动要求MFA；访问“成本分析报表”需额外审批。

平台提供权限模拟功能，管理员可预览某员工在申请某角色后的实际权限范围，避免权限误配。

目录服务与身份存储

平台内置高性能LDAP目录服务（兼容RFC 4511标准），作为身份数据的权威来源：

• 统一身份库：存储员工主账号、组织架构树、角色映射、权限策略等核心数据。
• 高速查询：支持每秒万级并发查询，响应时间低于10ms，满足高并发场景需求。
• 数据同步：支持与AD、LDAP、HR系统双向同步，确保数据一致性。

平台还提供RESTful API接口，供第三方系统调用身份信息（如获取某员工所属部门、岗位、权限集），实现“一次录入，多方复用”。

审计与报告中心

平台记录三类日志：

• 管理操作日志：如权限变更、角色分配、账号启停等，记录操作人、时间、前后状态。
• 用户访问日志：记录登录时间、IP、设备、访问应用、操作行为。
• 异常行为日志：如多次登录失败、非常规时间访问、非常规设备登录等。

平台内置20+合规报告模板，包括：

• 《权限变更审计报告》
• 《高风险操作清单》
• 《离职人员权限清理核查表》
• 《异常登录行为周报》
• 《民航网络安全合规自检表》

所有日志加密存储，保留不少于180天，关键日志同步至深航SOC平台，实现联动告警。

用户自助服务门户

平台提供Web与移动端自助服务入口：

• 密码管理：支持自助重置密码（通过绑定手机/邮箱验证）、修改密码策略。
• 个人信息维护：更新联系方式、紧急联系人、部门信息（需主管审批）。
• 权限申请：员工可提交临时权限申请，流程自动流转至主管与安全管理员审批。
• 设备管理：查看并管理已绑定的设备，支持远程注销异常设备。

自助服务上线后，密码重置类IT工单下降72%，用户满意度提升至96%。

分层架构设计

平台采用四层架构：

• 接入层：统一入口网关，支持Web、API、移动APP接入，集成负载均衡与DDoS防护。
• 服务层：核心功能模块，包括认证服务、授权服务、目录服务、日志服务、自助服务等。
• 数据层：LDAP目录、关系型数据库（存储审计日志）、密钥管理服务（KMS）。
• 集成层：适配器框架，支持SAML 2.0、OAuth 2.0、OpenID Connect、LDAP、RESTful API等协议，实现与OA、邮件、飞行系统等30+系统的无缝对接。

关键技术特性

• 高可用性：采用主备集群+异地容灾架构，RTO<30秒，RPO≈0，保障7×24小时服务可用性。
• 横向扩展：服务层无状态设计，支持按业务量动态扩容，支撑峰值10,000+并发登录。
• 开放集成：提供完整SDK与API文档，支持快速集成新系统；提供“零代码”适配器配置界面。
• 安全加固：全链路HTTPS加密、密码字段AES-256加密存储、敏感操作数字签名、定期渗透测试。
• 多租户支持：未来可支持深航集团下属子公司独立租户，实现权限隔离。

集成案例：与飞行运行系统对接

平台与“飞行运行支持系统（FOC）”深度集成，流程如下：

1. 飞行员登录平台后，通过SSO自动进入FOC系统，无需再次认证。
2. 系统根据飞行员角色（机长/副驾驶）、机型资质（A330/B787）、近期经历状态，动态展示可执行任务。
3. 当飞行员修改个人信息（如体检等级），平台自动同步至FOC，触发系统权限刷新。
4. 飞行任务结束后，系统记录其访问的航班数据、操作日志，纳入审计。

该集成使飞行员准备时间缩短15%，错误率下降40%。

阶段渐进式实施

第一阶段：规划与基础构建（3个月）

• 成立专项项目组，明确业务需求与技术路线。
• 梳理全公司200+岗位与权限映射关系，建立标准角色库。
• 选定技术平台（基于Keycloak开源框架定制开发）。
• 完成HR系统与身份平台的数据接口开发与测试。

关键成功因素：业务部门深度参与角色定义，避免“技术主导、业务脱节”。

第二阶段：核心系统集成与试点（4个月）

• 优先集成OA、邮件、航班调度等用户量大、安全性要求高的系统。
• 在机务维修部开展试点，覆盖500+员工。
• 收集用户反馈，优化密码策略与自助服务流程。
• 建立运维 SOP，培训内部支持团队。

试点期间用户满意度达92%，权限错误率降至0.5%以下。

第三阶段：全面推广与深化应用（5个月）

• 推广至全公司，覆盖所有业务系统。
• 上线动态授权、风险自适应认证模块。
• 部署移动APP端自助服务。
• 接入民航局网络安全监管平台，实现数据上报自动化。

典型挑战与应对策略

• 历史系统兼容性问题：部分老旧系统仅支持Basic Auth，平台开发定制化代理网关，自动将SSO Token转换为Basic Auth凭证，实现“无感集成”。
• 权限梳理复杂度高：采用“业务部门初筛—IT专家复核—安全团队终审”三级审核机制，耗时3个月完成10,000+权限项的归集与标准化。
• 用户习惯改变难：开展“身份管理月”活动，通过案例讲解、实操培训、有奖问答等方式提升认知，上线首月SSO使用率达85%。
• 多因素认证接受度低：初期提供“可选MFA”，对高风险操作强制启用；后续通过安全意识教育，MFA普及率提升至95%。

安全运营保障

平台为飞行控制、机组排班、票务结算等关键系统构建统一强认证入口：

• 年拦截非常规设备登录尝试2,842次，异常IP访问417次。
• 离职员工权限残留事件从年均12起降至0起。
• 通过民航局“网络安全等级保护三级”认证。

平台成为深航安全运行的“数字哨兵”，为“航空安全零事故”目标提供技术保障。

效率提升实证

线员工工作效率显著提升：

• 签派员切换系统时间从平均120秒降至15秒。
• 乘务员登机前信息查询时间缩短35%。
• IT支持工单中“密码重置”类占比从42%降至8%。
• 新员工上岗培训周期缩短20%，因权限问题导致的操作延误归零。

成本优化成果

• 年减少密码重置IT人力投入约2,400工时。
• 新系统集成周期从平均30天缩短至7天。
• 权限审计成本下降60%，审计准备时间从3天缩至2小时。
• 合规罚款风险基本消除，避免潜在损失超千万元。

创新赋能能力

平台为深航未来业务拓展提供身份底座支撑：

• 支撑“深航e行”移动APP上线，实现机组签到、航班查询、学习培训一站式服务。
• 与合作伙伴建立安全API通道，实现航材库存实时同步与协同采购。
• 为未来旅客身份管理（如刷脸值机、无接触登机）预留技术接口。

身份治理全域化

未来平台将从“人”的身份管理，扩展至：

• 设备身份：为机载传感器、地面充电桩、行李传送带等IoT设备颁发数字证书，实现“一物一码、一物一身份”。
• 应用身份：为微服务应用分配独立身份，实现服务间API调用的认证与鉴权。
• API身份：为开放平台接口分配动态令牌，支持按调用量、权限范围精细计费与审计。

深航计划2025年前完成设备身份管理模块建设，实现全域身份治理闭环。

智能风险自适应认证

平台将集成UEBA（用户行为分析）与AI模型：

• 建立用户行为基线（如常用地点、常用设备、常规操作时间）。
• 当检测到异常（如凌晨3点从境外IP登录、首次访问财务系统），系统自动触发高阶认证（如视频验证+动态令牌）。
• 通过机器学习持续优化风险评分模型，误报率降低50%。

该能力将显著提升“安全与体验”的平衡能力，避免“一刀切”认证带来的用户反感。

云身份服务融合

随着深航混合云战略推进，平台将：

• 支持SaaS应用（如钉钉、飞书、用友云）的身份对接。
• 与阿里云/华为云IAM服务打通，实现本地与云端身份统一管理。
• 提供“云身份代理”，为云上应用提供统一的SSO入口。

年已完成与阿里云RAM的初步对接测试，支持跨云账号映射。

合规与治理能力升级

平台将持续对接监管要求：

• 自动识别《个人信息保护法》中的“敏感个人信息”，实施更强保护策略。
• 支持用户行使“查阅、复制、更正、删除”权利，提供自助数据导出与删除接口。
• 对接民航局“网络安全风险监测预警平台”，实现威胁情报联动。

关于“深航统一身份管理平台”的常见疑问

民航身份管理相关知识拓展

除深航外，国内多家航司已部署或规划统一身份管理平台：

• 国航：2022年上线“国航云身份中心”，支持10万+用户，实现集团统一认证。
• 南航：构建“智慧南航身份中台”，集成设备身份管理，支撑飞机物联网应用。
• 海航：采用混合云架构，实现本地与AWS IAM联动，支持国际化业务。

行业趋势显示：统一身份管理正从“可选项”变为“必选项”，是航司数字化转型的基础设施级能力。

与其他身份管理系统的区别

与互联网企业的“用户身份管理”（如淘宝、微信账号体系）不同，深航平台属于“企业身份管理（IAM）”，核心差异在于：

• 对象不同：互联网面向C端用户，强调便捷；深航面向B端员工与合作伙伴，强调安全与合规。
• 权限粒度：互联网平台权限较粗（如会员等级）；深航平台可达“字段级权限”（如仅允许查看某航班的乘客座位，不可修改）。
• 合规要求：民航业受《民用航空网络安全管理办法》等严格监管，审计要求远高于普通互联网应用。

因此，深航平台更接近于金融、能源等关键行业的IAM体系，是高安全等级的治理中枢。

用户如何参与平台优化？

深航鼓励用户反馈建议：

• 通过平台“建议反馈”入口提交意见。
• 加入“用户体验官”计划，参与新功能测试与评审。
• 参加季度用户大会，听取IT团队汇报进展。

年共采纳用户建议37条，包括优化密码策略、增加“一键登出”按钮等，用户参与度持续提升。