【云栖号案例 | 新零售】维他奶拥抱数字化转型 重构员工账户与权限管理方式

  1. 云栖社区>
  2. 云栖号资讯>
  3. 博客>
  4. 正文

【云栖号案例 | 新零售】维他奶拥抱数字化转型 重构员工账户与权限管理方式

云栖号案例库 2020-09-15 18:13:52 浏览563
展开阅读全文

云栖号案例库:【点击查看更多上云案例】
不知道怎么上云?看云栖号案例库,了解不同行业不同发展阶段的上云方案,助力你上云决策!

公司介绍

维他奶(公司官网地址:https://www.vitasoy.com)成立于1940年,在中国大陆、中国香港,美国、澳大利亚等地设有厂房,公司员工遍布上海、广州、香港等多个分支机构。随着业务的高速发展,维他奶集团的应用系统数量也不断增长,移动办公、远程办公和外网访问的需求日益增加。如何有效管理众多应用系统中的用户账号和权限,如何在保证安全的前提下,为用户在使用不同终端时提供高效、快捷的访问体验,成为公司在数字化转型进程中面临的挑战。

业务痛点

  • 应用系统与用户数量日益增加,管理复杂、成本较高。

维他奶的原有IT系统基础架构是基于AD域控开发的,在企业业务高速增长、应用系统数量持续增加的阶段,无法对大量的内部账号、访问权限依托于AD域进行有效管理,全盘重新开发的时间和人力成本都比较高,不适合当前业务要求。

  • 身份及认证方式繁杂,员工接入效率不高、可能存在安全隐患。

维他奶的内部应用系统是相对独立的,员工以往在登录不同业务系统时,都需要按照系统预设的认证方式进行各自登录,增加了操作量,一定程度上降低了效率。此外,由于多个系统的相对独立存在,员工需要记录与之对应的多套账户和登录密码,该情形不可避免地会造成员工的记忆困难,同时也更容易发生密码泄露。

  • 账户与权限缺乏统一自动化管理。

以往,维他奶内部的应用权限是通过IT管理人员手动操作进行发放的,权限申请的入口繁多,IT团队的授权工作量很大;而且在员工离职后,需要通过手工下发发权限回收的通知,效率较低且容易遗漏,可能会导致离职员工的权限收回不及时,在技术上留下风险敞口。

  • 传统的VPN访问方式不适合越来越多的远程办公场景。

维他奶的分支机构遍布中国大陆、中国香港和海外城市,员工以往访问总部的数据中心时都要通过VPN的方式拨入内网;但随着业务的增长和疫情突发,远程办公快速成为主要场景,传统的VPN在大量的远程接入需求的情况下存在性能瓶颈,且无法对终端设备的安全状态进行有效管控,一旦终端被劫持或被恶意程序感,可能会通过VPN接入内网并进行非法操作,企业对非法行为的监控、阻断和审计管理较为困难。

解决方案

阿里云应用身份服务(IDaaS)+应用安全认证网关(SPG)方案

  • 统一的账户身份及认证管理能力

IDaaS将原先散落在各个业务应用系统内的账号进行统一管理,将AD/LDAP、钉钉、企业微信等系统内的账号来源打通,将员工从记录多个账户、密码的繁琐操作中解放出来;企业IT人员可以灵活地自定义SSO门户,并配置除了密码之外多种认证方式(包括动态令牌、证书和第三方认证员),赋予员工、合作伙伴及客户一键访问所有被授权应用的能力。尤其是最复杂的SAP系统对接过程中,大大提高了维他奶核心的SAP系统用户的工作效率。

11

  • 统一的权限管理能力

IDaaS提供了可视化的集中授权能力,能够通过对员工或部门的一次性配置,使对其的授权访问范围在全局生效。在员工的岗位、职务发生变化或者离职时,无需管理人员干预,即可实现权限配置的快速应变和回收,大幅提升权限管理效率,降低运维成本,缩小风险敞口。

22

  • 基于零信任理念的5A应用身份管理,助力企业拥抱安全的远程办公体验

IDaaS通过对员工身份的认证,与SPG相互紧密配合,在保障远程接入的访问效率和体验时,避免业务系统在互联网上裸奔。

相对于VPN,应用安全认证网关SPG的方案不需要用户进行远程拨入,不需要安装VPN客户端,员工在内网和外网环境下的使用体验没有差别;而且通过反向代理几时,SPG能够将业务服务妥善地保护在网关之后,并通过HTTPS加密通道、多种强认证、双因素认证、黑名单等技术手段来提高交互的安全性,在通过互联网访问内网时取代VPN,并依靠阿里云云原生的基础设施优势,在业务高峰时期,实现动态扩容,确保体验,降本增效。

33

此外,IDaaS作为一款基于阿里云原生架构的安全产品,拥有更高的可扩展性和兼容性,在维他奶的IT基础设施、架构和应用不断走向云端的过程中,能够提供更好的兼容性和扩展性。

证言

“维他奶单点登录平台上线以来运行稳定,极大方便了维他奶同事登录IT系统并获得一致好评。目前维他奶十多套应用系统已经顺利接入,在PC端和移动端做到了免登进入各种系统,充分展示了阿里云安全产品的技术实力和落地能力。在此,我们对阿里云IDAAS项目组同事的专业技能和用心服务表示表示诚挚的感谢!”——维他奶集团CIO Lucas

相关产品

  • 应用身份服务

应用身份服务(IDaaS)是一个集中式身份管理服务,为政企客户提供统一的应用门户、用户目录、单点登录、集中授权、以及行为审计等中台服务。 IDaaS 支持 SAML、OIDC、CAS 等常见身份联邦协议,也可以与钉钉通讯录、AD、HR 系统等身份源打通,做到统一的身份权限管理和应用访问控制。
更多关于应用身份服务的介绍,参见应用身份服务产品详情页

【云栖号在线课堂】每天都有产品技术专家分享!
在线课堂地址:https://yqh.aliyun.com/live

立即加入社群,与专家面对面,及时了解课程最新动态!
【云栖号在线课堂 社群】https://c.tb.cn/F3.Z8gvnK

网友评论

登录后评论
0/500
评论
云栖号案例库
+ 关注
所属团队号: 云栖号资讯