在經歷全球范圍的疫情沖擊后，疫情對企業數字化轉型的影響已經從初期被迫式、局部場景的“云辦公”轉化為長期深遠的全場景影響。加之近年中美技術加速解耦，以及信創政策的加持下，中國企業在數字化轉型中使用本地化解決方案代替原有的外企套裝軟件的情況正在加速。同時以 OpenAI 為主導的人工智能領域的突破，種種因素給企業數字化轉型到來的新的難題和契機。
數據顯示，在經歷疫情后，中國企業數字轉型成熟度穩步提升，轉型成效顯著的領軍企業營收增速達到其他企業的 4 倍，國有企業和大型集團作為排頭兵已經進入數字化轉型的深水區和分水嶺。數字化轉型是涉及企業全業務、跨職能的系統性長期工程，數字化轉型沒有“銀彈”，更不可能一蹴而就。
據統計，超半數企業由于缺乏前瞻性布局，經歷大刀闊斧的轉型后，數字化價值效益不明顯。本文將剖析集團型企業數字化轉型現狀與難度，以及如何通過構建集團身份中臺以及多租戶架構，提升大型集團及下游子公司管理效能，并為集團構建適應未來發展的數字化身份基礎設施。
01.集團型企業數字化管理現狀洞察
集團型組織通常具備下游企業眾多、業態豐富、層級復雜、跨多區域、人員龐雜且變動頻繁等特點。同時由于集團型組織中的 IT 力量分布在旗下各子公司的各層級單位，并因不同子公司業務、區域、技術力量等客觀因素的限制，導致在數字化建設過程中各子公司數字化轉型的認知、側重、程度等多方面存在差異，子公司與子公司間孤島式搭建數字化體系，各子公司內部也是煙囪式構建數字化系統。這些因素進一步導致集團數字化轉型面臨以下挑戰：
集團信息化較早、程度較深，老舊系統和傳統的管理流程難兼容新數字化建設理念和需求
集團型企業通常信息化建設較早，程度較深。但由于早期信息化過程通常使用大量的套裝軟件以及主要依靠外部供應商提供信息化咨詢和系統建設。在新技術加持的數字化轉型背景下，集團內部的老舊系統和傳統的信息化管理流程、制度老化，“修修補補又一年”的傳統理念難兼容新數字化建設的需求，推倒重構周期過長、成本過高。
各子公司間孤島式搭建數字化體系，集團難以實現統一管理所有子公司員工身份和應用系統數據
各子公司由于業務架構、技術能力、區域法規等多種客觀因素的差異，以及不同子公司中員工、經銷商、供應商、上下游合作伙伴等角色各不相同，各子公司基于自身業務架構和管理需求獨立建設數字化體系，同時各自獨立維護各類數字化應用系統以及管理復雜的身份體系。導致在集團內部形成一個個獨立的數字化孤島，重復損耗建造、維護、迭代成本，集團難以打通各子公司數據，無法統一管理各子公司員工身份和應用系統數據。
子公司內部煙囪式數字化建設，跨部門協作協同難，內部數據傳遞效率低，市場需求響應靈活度不足
絕大多數公司受長期規模經濟專業化分工發展模式的影響，內部層級分明、職能分工明確，傳統的利益格局和權利體系固化，導致資源共建共享和跨部門協同協作等數字化轉型開放意識不足。在數字化轉型過程中各部門圍繞自身核心業務線搭建和實施相應的數字化系統，在內部形成以各個業務線為單位的煙囪式數字化結構，不同業務線的系統間數據割裂，導致公司內部數據傳遞效率低，無法充分發揮數據要素的價值。同時由于跨組織協同和各系統間數據流通受阻，而企業內部研發資源有限，導致市場需求響應靈活度不足。
集團難以向下游子公司敏捷推廣和實施先進數字化轉型經驗，無法形成數字化規模經濟效應
集團在深入數字化改革過程中，通常會調研和試點先進的數字化轉型方法論，受阻于上述問題，由于沒有一套完善的子公司數字化管理架構，試點成果的項目和經驗難以快速復制和推廣至下游各子公司。而傳統的數字化系統部署、升級和維護工作主要依靠各子公司獨立實施，這會導致集團整體的資源利用率降低，運營成本高。同時，集團如果拓展新的業務，很難快速為其提供和部署現有的數字化能力，全集團無法形成全場景的數字化規模經濟效應。
02.構建集團數字化身份管理基礎設施的重要性
全球知名咨詢機構 Gartner 在 2019 年提出 EBC（Enterprise Business Capability,企業業務能力） 這一理念，并認為 EBC 正在成為數字時代企業的核心競爭力。簡要來說，EBC 其中的一個理念倡導企業以數據驅動，從端到端，將企業內部數據從過去煙囪式和孤島式轉化為協同式，提升企業整體數字化能力。
細粒度管理集團內部及下游所有身份權限，保障集團信息安全與審計合規。
集團或企業的管理，本質上是對人的管理，在數字化時代同樣如此。不同的是，數字化時代的身份不僅包含人的身份信息，也包括終端設備和系統等。同時，信息安全是企業管理的核心。如上文所述，隨著業務上云、生態協作、多云混合等場景涌現以及移動互聯、IOT 設備的普及，大量的設備接入和上云讓企業的身份信任邊界外擴，過去以企業內部防火墻為邊界的身份與訪問控制（IAM）已經無法應對現今分布式身份和權限管理需求。
所以集團提前部署下一代身份基礎設施，即基于云的身份管理與訪問控制系統（IDaaS）。IDaaS 提供身份驗證、授權、訪問注冊的統一身份中臺，能夠同時管理企業內部應用和 SaaS 應用，通過打通云上與本地系統的身份體系以及 OneID 能力，實現對集團內部員工和下游子公司員工、外部合作伙伴等角色的身份、權限、數據進行統一管控。
強大的 IDaaS 具備完善的權限管理和安全策略配置能力，例如 Authing IDaaS 提供基于 OPA 引擎的 RBAC&ABAC 權限管理模型，既可以管理業務中的實體資源，也可以管理數據、API、菜單、按鈕等細顆粒度權限控制，不僅如此，Authing IDaaS 還提供強大的權限編排能力，實現集團及子公司全業務場景權限管理覆蓋。Authing IDaaS 還提供完善的組織內用戶行為審計日志，來滿足集團安全合規需求。
多租戶模式幫助集團實現下游子公司分級分權管理，提升集團數字化統一管理效能
集團身份治理的難點在于管理旗下眾多的子公司復雜的員工、供應商、合作伙伴等角色身份信息。傳統的 IAM 僅支持單租戶模式，子公司獨立管理和維護復雜的身份體系，而 IDaaS 同時支持多租戶模式，可以幫助集團實現所有下游子公司的統一管理。
多租戶模式是一種軟件架構設計，它允許多個租戶（下游子公司）共享同一個軟件應用實例，同時保證數據的隔離和安全。僅依靠單一的多租戶架構并不能有效管理集團子公司所有員工和其它角色身份信息。需要基于強大的身份中臺能力的多租戶架構，集團可以快速整合全體子公司身份體系，實現復雜的組織架構分級分權管理。
對于集團型企業而言，多租戶架構為集團公司提供一個統一的身份管理平臺，以及員工身份信息 OneID 能力，簡化了對各子公司業務數據和流程的監控。集團公司可以在一個平臺上查看和分析所有子公司的數據，為集團的統一管理提供高效的數據決策支持。多租戶架構可以在很大程度上簡化對旗下眾多子公司的管理，提升集團整體數字化統一管理效能。不僅如此，基于身份中臺的多租戶架構還具備以下優勢：
● 提高資源利用率，節省運維成本：由于多租戶架構在一個應用實例中支持多個子公司，可以根據不同子公司實際業務需求分配資源，通過負載均衡和彈性擴容，使得系統可以根據租戶的實際需求和系統負載自動分配資源。這種動態分配機制確保了資源在不同租戶之間得到合理分配，提高了整體系統的性能和穩定性。在資源需求增長時，可以迅速分配更多資源以滿足需求，在需求降低時，可以回收資源以減少浪費。這種彈性擴展能力有助于實現資源的最優化，顯著降低 IT 基礎設施、維護和升級的成本。
● 租戶數據隔離，數據安全合規：雖然多租戶架構下的各子公司共享同一個應用實例，但可以確保每個子公司的數據彼此隔離。此外，多租戶架構還可以提供集中的權限管理能力和安全策略配置，以及提供完善的租戶內用戶行為審計日志，確保所有子公司的數據安全以及滿足所在地區法律合規。
打通集團全鏈路身份體系，提升集團和旗下子公司運營管理效能
隨著數字化進程的深入，多應用、混合云的環境，給使用傳統 IAM 進行身份管理的企業帶來沉重的管理負擔。例如：對于集團下游子公司而言， IT 管理員需要維護每個員工在不同系統之間的賬號信息，并做日志審計和授權管理，當員工使用企業內部 AD 域賬號訪問外部系統，以及外部系統需要通過 VPN 登錄到內部 AD 域時，員工需要維護復雜的賬戶密碼體系。
IDaaS 提供統一的用戶目錄，通過可信單一數據源將企業不同系統的用戶身份數據進行統一整合和管理。還提供統一的應用管理平臺。通過滿足各類標準集成協議，使得集團可以通過一處集成應用與子公司關聯，極大程度減少集團內重復的應用集成成本。
可靠的 IDaaS 方案還提供應用集成網絡，來幫助集團和子公司快速集成所需應用，降低應用集成成本。例如 Authing APN（應用集成網絡）預集成了 2000 多款數字化應用，以及支持多種主流協議的自建應用快速集成解決方案，實現數據和業務流程的無縫對接，集團可以通過多租戶架構快速為每個子公司或新的業務線快速部署所需應用軟件。
通過上述身份信息和應用系統的打通，以及與上文身份中臺權限管理能力的結合，實現全集團應用系統的單點登錄能力，員工只需認證一次，即可訪問所有被授予訪問權限的業務系統，提升員工辦公效率以及防止密碼泄露。同時，強大的 IDaaS 解決方案還提供身份自動化能力，來自動化實現集團內部上下游身份信息同步，極大程度降低企業 IT 人員運營管理負擔，提升集團整體管理效能。同時還帶來以下優勢：
● 統一的升級和維護：通過基于身份中臺的多租戶模式，集團公司可以統一進行應用的升級和維護，避免了在多個子公司分別進行升級和維護的繁瑣工作。這不僅可以降低運維成本，還可以確保所有子公司都能及時獲得最新的功能和性能改進。
● 全場景的數字化規模經濟效應：IDaaS 可以幫助集團公司打破原有的企業內部和集團內部數據壁壘。通過多租戶模式提高集團公司業務模式創新和跨組織協同協作創新能力，形成以數字能力沉淀和按需調用賦能業務輕量化、協同化的數字化發展模式。隨著越來越多的業務和子公司的接入，每個子公司的運營、部署、集成、維護等時間和成本將得到釋放，實現集團全場景的數字化規模經濟效應。
03.最佳實踐案例分享：某全球知名大型集團
需求挑戰
● 該集團旗下有 300 多家公司，近 400 個分部組織。組織結構龐大人員眾多，身份體系混亂，由于各公司各組織分布在多個地區，組織架構和員工身份管理難度大，集團內部信息傳遞效率低。希望構建統一身份中臺，整合各公司組織的員工身份體系以及保障同一自然人在全平臺身份信息保持唯一。
● 由于各公司各組織分布在全球多個地區，需要有強大的權限管理能力、安全策略能力、完善的審計報告以及相關的合規資質來滿足不同地區的數據安全合規要求。
● 各子公司均有不同程度的數字化能力，集團希望統一管理旗下所有子公司應用數據以及提供完善的數據看板。同時各子公司也能擁有完善的身份管理體系管理下屬員工、經銷商等角色。
解決方案
● 通過 Authing 為該集團構建的統一身份中臺，以及 OneID 能力，快速整合旗下子公司身份體系，通過 Authing 多租戶實現子公司分級分權管理，并保障各子公司間數據隔離。同時通過 Authing 身份自動化能力，實現集團上下游數據信息實時同步。極大程度提升了集團和企業的運營管理效率。
● Authing 提供基于 OPA 引擎的 RBAC&ABAC 權限管理模型，以及提供完善的租戶內用戶行為審計日志。同時 Authing 還滿足不同國家和行業的合規性要求，如三級等保認證、ISO 質量認證體系認證、歐盟 GDRP 數據保護條例、CMMI 3 級能力認證、國家商用密碼產品認證等資質。
● 通過 Authing 多租戶能力，集團可以通過控制臺實現一處管理所有旗下子公司員工身份信息、應用數據信息等。同時各租戶（子公司）擁有完善的租戶管理控制臺，可以有效的管理子公司內部的員工、供應商、經銷商、合作伙伴等身份信息和權限。
Authing 是國內唯一以開發者為中心的全場景身份云產品，為企業和開發者提供高安全、高性能、高生產力的用戶認證和訪問管理服務。
Authing 目前已經服務包括可口可樂、招商銀行、三星集團、復星集團、萬科集團在內的 40000+ 企業和開發者。
