6.3 认证与授权

6.3 认证与授权

本节摘要：元数据平台的安全性常被低估——表结构、血缘、负责人、质量结果本身就是敏感资产，谁有权看哪块地图，必须有一套明确的答案。本节建立三层安全模型：接入账号的程序化认证、界面账号的统一登录、基于策略的细粒度授权，并给出 401 与 403 的分诊处置和最小授权的落地清单。读完你应当能为平台配好门锁，而不必成为安全专家。本节承接 6.2 的稳定运行，安全与稳定同属运维的基本盘。

三层安全模型

平台的访问者分三类，各有各的认证方式与授权模型。第一类接入程序（摄入执行器、质量工具、调度系统）：用服务账号加访问令牌认证，授权按"能写哪些实体、能读哪些 Aspect"的最小集合配置。第二类界面用户（数据工程师、分析师、治理人员）：接入组织的统一登录体系——单点登录对接后，账号生命周期（入职开通、离职回收）交给账号源系统，平台不自建用户目录，这是省心又安全的做法。第三类外部系统（门户嵌入、报表集成）：以服务身份调用 GraphQL 或 REST，授权范围在网关层与平台策略层双重约束。

三层的共同原则是认证看身份、授权看范围：认证回答"你是谁"，授权回答"你能动哪块地图"。混淆两层的典型症状在 4.4 已经出现过——401 是认证层的事，403 是授权层的事，分诊先于此开始。

接入账号：程序化访问的正确姿势

接入账号的配置有四条纪律。一程序一账号：摄入执行器、质量工具、各集成系统各发各的令牌，出问题时按账号定位变更来源，收权时也不牵连他人。最小授权：摄入账号只需要写元数据的权限，绝不需要读全部元数据之外的任何能力；只读集成（如门户查询）只给读权限。令牌轮换：按组织的安全周期轮换令牌，轮换用"先发新、后废旧"的重叠窗口，避免轮换当天摄入断粮。环境隔离：测试环境的接入凭证与生产严格分开，测试令牌写不进生产——这道门挡住的是"在测试环境调脚本误伤生产数据"的日常事故。

对 4.3 的自研连接器，加一条：连接器的令牌放在密钥管理服务或加密配置里，随代码入库的明文令牌等于没有门锁——安全扫描对代码库的令牌检出是迟早的事，别等它来。

界面账号：接单点登录而非自建

界面侧的头号决策是不自建用户体系。平台支持对接主流的单点登录协议，对接后用户以组织身份登录，账号的开通、禁用、回收全部跟随账号源系统自动同步。自建用户目录的代价在半年后显现：离职员工的账号还在地图上留着负责人身份，权限评审时没人说得清谁能删它。

对接之外，两个功能点值得配置。默认权限组：新登录用户默认加入基础组（只读加自己实体的编辑权），避免"新用户进来什么都不能看"劝退首次使用，也避免"默认全开"酿成越权。来宾与外部账号：给外包或跨公司协作人员单列权限组，可见范围收窄到指定领域——地图上有些区域，对来宾就是空白。

令牌轮换的重叠窗口实操

轮换纪律里的"重叠窗口"值得展开成具体步骤，因为它做错的形态很隐蔽：直接废旧发新，看起来只断了三分钟，但摄入任务是定时触发的——下一次定时触发撞上断档期，失败的任务要等第二天才会被发现，新鲜度在无声中破防一天。

标准动作五步：第一日签发新令牌，新旧并存；第二日按源逐个切换配置到新令牌，每切一个源观察一轮摄入成功；第三日确认所有源都已切换（查各源最后一次成功摄入的时间戳）；第四日废旧令牌；第五日再核对一遍全源新鲜度。全程任何一步出问题，旧令牌还在，回退只是改回一行配置。把这份步骤存进值班手册，轮换从"提心吊胆的操作"变成"五天冷静流程"。

策略授权：用角色画圈而不是逐人配置

细粒度授权用策略表达：给某个身份集合，在某些资源范围上，授予某些操作。资源范围用实体的属性圈定——某个领域下的所有数据集、带某个标签的实体、某个平台的全部主题。操作分读、写、管理三档。

设计策略时遵循"角色画圈"三步法。第一步梳理角色：数据平台组（管理全图）、领域负责人（管理本域）、数据 stewards（打标与术语维护）、普通用户（只读加认领实体的编辑）。第二步圈资源：按 5.3 的领域归属与标签圈——这就是治理资产反哺安全的直接例子，没做领域归属的组织在这一步会寸步难行。第三步配操作：管理域内全部、本域读写、全域只读，逐级收敛。

一个高频场景给出完整配置示例：敏感字段的查看控制。带"高敏"标签的实体，只读权限收窄给合规组与对应领域负责人，其他用户在搜索与详情里对该实体的可见性受限。这一条策略同时满足了合规的分级管控要求，也是打标体系价值的最直接证明。

401 与 403 的分诊与处置

故障分诊流程化。401 认证失败：检查令牌是否过期或拼错（首尾空格是经典陷阱）、是否用错了环境（测试令牌打生产）、时钟偏移是否导致签名校验失败。处置动作：重新签发令牌，用最小请求验证。403 授权不足：认证已通过，检查策略——该账号所在权限组对目标资源范围是否有对应操作授权；常见根因是资源范围圈的太窄（标签改了导致实体落出范围）或权限组调整后账号没重新加入。处置动作：先确认账号的组归属，再核对策略的资源圈定条件。

把两类错误的排查写成值班手册的一页，配一个最小验证命令（用令牌调只读接口看返回码），值班的同学就能三分钟内给出分诊结论，不用每次都升级到平台管理员。手册之外，再给两个真实小案例充实分诊直觉。案例一：某集成系统接入后所有请求都是 401，排查半天发现网关层把授权头做了二次编码，服务端解析出的令牌已面目全非——401 的根因可能在平台之外的网络设备上，扩大排查半径前别死磕令牌本身。案例二：某领域负责人投诉自己改不了本域的表描述，返回码是 403；核对发现前一天领域归属调整，该实体被重新划入另一领域，而策略的资源圈定条件跟着领域走了——403 的根因常常是资源范围条件的变化，不是权限组配置错了。两个案例合起来的教训：授权问题的一半根因，在资源那一侧的身份变化上。

与安全合规团队的协作接口

平台运维不必独自承担安全判断，但要给安全团队递对话的接口。三件事建议提前办好：把实体分级标签体系（5.3）同步给合规团队，让他们的分级要求映射到平台标签而不是另立台账；把策略配置导出纳入权限评审的固定材料——策略即代码的价值就在可导出、可评审、可 diff；把接入账号清单做成季度对账，凭证的发放与回收记录跟组织的人事周期对齐。这三件事做完，安全审计从"突击自查"变成"出具导出"，平台在合规侧的存在感从风险项变成资产项。

⚠️ 安全配置变更（策略调整、权限组重构）与平台升级一样，要先在测试环境演练，并保留变更前快照。策略写错的最坏形态不是拒绝对——是放开了不该放开的范围，而且没人发现。

本节要点回顾

• 三层模型：接入程序用令牌、界面用户接单点登录、外部系统双重约束；认证管身份，授权管范围。
• 接入四纪律：一程序一账号、最小授权、令牌轮换留重叠窗、环境严格隔离。
• 不自建用户目录：账号生命周期跟随账号源系统；默认权限组保住新用户的首次体验。
• 角色画圈三步：梳理角色、按领域与标签圈资源、逐级收敛操作；治理资产直接反哺安全。
• 401 查身份、403 查策略：值班手册固化分诊流程，最小请求三分钟定位。

门锁装好，还差一双眼睛。下一节建立监控视图：五个黄金指标、两类专属告警，让平台的状态自己说话。