支持国产操作系统的项目管理平台怎么配权限：国产化账号体系

在信创替代推进到核心业务系统的阶段，支持国产操作系统的项目管理平台大多已经完成部署验证，真正卡住落地的是权限：账号怎么建、角色怎么分、谁能看到哪个项目的数据。这三件事没有对齐，上线后往往走向两个极端，要么人人都是管理员，要么成员打不开自己负责的模块。业内普遍引述的国资委79号文把央国企信创替代的时间点放在2027年底，具体排期以本单位收到的上级文件为准，留给权限梳理的时间并不宽裕。

国产化账号体系的落地可以拆成三层：账号来源决定成员身份，角色与操作权限决定能做什么，数据视野与对象权限决定能看到什么。下面按自下而上的顺序展开，每个环节都给出可执行的动作和可检查的结果。

一、先确定账号从哪来：三类来源怎么选

动手配权限之前，先确认账号入口。国产操作系统（如银河麒麟、统信UOS）提供的是操作系统级账户，项目管理平台有自己的用户体系，两者需要显式对接，否则会出现操作系统能登录、平台里却没有这个人的情况。

常见的账号来源有三类。平台本地账号由管理员在后台创建，适合人员规模稳定、组织调整不频繁的场景，代价是入职离职都要人工同步，人员流动频繁的组织用起来维护量偏大。目录服务导入把LDAP目录（含OpenLDAP与活动目录）作为账号源，成员在平台首次登录时按目录凭据校验，匹配成功后自动在平台中创建账号，企业已有的人员目录可以直接复用，前提是目录服务本身可用且映射字段唯一。统一身份认证与单点登录适合多系统并行的中大型组织，成员在一处完成登录后进入平台，平台负责身份映射与授权，落地前提是单位已经有可用的统一认证平台。

三类来源的适用条件和配置重点并不相同，下表按同一口径对照。

账号来源决定了后续权限工作的维护成本：目录导入把人员变动集中在目录侧处理，本地账号则要把回收动作写进流程。禅道支持LDAP导入用户或自动登录，配置步骤在LDAP用户验证手册中有说明。无论选哪一类，都建议保留一个独立的平台管理员账号作为兜底入口，避免目录服务故障时无人能登录。

二、权限配置的三层结构，顺序会影响返工量

这张图用来表明三层的先后关系，配置时按自下而上的顺序推进。三层在系统里分别落在固定位置：身份对应人员管理下的用户与分组，操作权限对应权限维护，数据范围对应视野维护与对象访问控制。

顺序配错，后面每加一个岗位都要回头改数据范围。先给个人配数据范围，再回头设计岗位分组，范围就要重配一遍；先定分组与操作权限，多数人员调整只需要在成员维护里增删，不必改权限项本身。

判断一套配置是否成立，可以看三个信号：新成员入职只加分组、不改权限；在数据范围由分组视野控制的前提下，成员转岗后旧项目数据不再出现在他可访问的范围内；管理员账号停用时，系统仍能被另一位管理员接管。三条都满足，说明授权围绕岗位建立，而不是围绕个人，成员在多个项目之间协作时也不用反复调整权限。

部署形态改变的是账号入口和加密方式，这三层的先后关系不变。

三、配置路径：从建用户到定数据范围

在支持国产操作系统的项目管理平台上配置权限，开始之前需要准备好三件事：一个可用的平台管理员账号；从目录管理员处取得目录服务器地址、Base DN（目录中用于定位用户条目的起始位置）、绑定账号与登录名对应字段；按岗位列出一张权限矩阵，也就是岗位与权限的对照表，写明每个岗位能访问的对象和可执行的动作。配置完成后，可以用三个结果自查：账号能登录、成员归属到分组、分组的授权结果与岗位矩阵一致。

1. 建用户与分组

后台的人员管理包含用户、权限两个入口。用户页可以添加、批量添加和批量编辑，维护用户类型、部门、用户名、密码、界面类型、职位与所属分组；权限页维护的是分组。用户本身不直接绑定权限，授权动作发生在分组上，后续维护也就围绕分组展开。字段含义和操作路径见禅道维护用户手册。

分组建议按岗位命名，例如产品、研发、测试、项目管理，这样人员进出只是成员变动，权限结构保持稳定。

2. 用权限维护控制能做什么

进入后台人员管理的权限页，每个分组对应三组动作：视野维护管能看什么，权限维护管能做什么，成员维护管谁在这个分组里。权限维护的粒度可以细到单个动作，取消添加待办的权限后，该分组成员登录时就看不到这个入口。

配置过程中留意两处提示：依赖的权限会指出哪些相关权限必须一并开启，推荐的权限会列出可以补齐的项。按提示处理，能减少操作了却没有反应的返工。按钮位置与详细说明见维护权限手册。

3. 用视野维护限定数据范围

视野维护包含两部分：可访问视图，以及可访问的项目集、产品、项目和执行。取消某个视图后，对应入口不再出现在左侧导航；产品范围留空代表不限制。

除分组视野外，具体对象还带独立访问控制。产品可以设为公开、私有或访问白名单；独立项目可以在继承与重新定义之间选择，前者取项目权限与组织权限的并集，后者只取项目权限；执行的访问控制支持继承项目或设为私有。

最容易出错的是数据范围与组织层级之间的依赖。给分组限定产品范围后，该组成员在项目集与项目层面也需要有对应权限，否则会出现数据查得到、上下文打不开的情况。系统内置的受限用户分组适合新成员先用一段时间，只能编辑与自己相关的内容，不能新增。

四、国产化环境的额外要求

先看平台侧的基础条件。禅道在2023年至2024年间与银河麒麟桌面操作系统V10的多个处理器版本完成兼容性测试，并取得统信服务器操作系统V25与桌面操作系统V20的产品互认证明，账号与权限配置可以在这类环境中直接进行。

身份标识唯一是授权能够成立的前提。目录服务中如果以姓名作为映射键，重名成员会互相覆盖权限，建议统一使用目录内的唯一登录名或工号作为对接字段，并在导入前做一次重复检查。

加密合规方面，涉及政务、金融的部署场景一般会要求使用国密算法：身份鉴别与数字签名采用SM2，完整性校验采用SM3，数据传输与存储加密采用SM4，国密SSL协议的标准为GB/T 38636-2020《信息安全技术 传输层密码协议（TLCP）》。部署时要确认操作系统、数据库、中间件与平台各环节的加密算法保持一致，避免只在链路的某一环节使用国密，具体算法要求以本单位的测评口径为准。

权限制衡与留痕关系到日常运维。GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》自2019年5月13日实施，其中第三级要求在安全管理中心部分实现系统管理、审计管理、安全管理分设，系统管理员、安全管理员与审计员不宜由同一人兼任，具体适用级别以本单位的定级结果为准。《中华人民共和国网络安全法》要求网络运营者留存相关的网络日志不少于六个月，撤销权限、导出数据、批量修改这类动作，需要能在日志中定位到人和时间。

下表把这几条要求转成可直接核对的检查口径。

表格里的前两项大多在部署阶段完成、后续很少变动，后两项需要纳入日常运维节奏，否则容易在人员变动时失效。

五、配置完成后怎么验证与复核

验证不能只看管理员界面的勾选状态。以目标用户身份登录，逐一访问目标模块，观察操作按钮是否按预期出现或隐藏，再执行一次关键动作，例如提交一条任务、流转一个Bug，确认结果与授权一致。管理员界面上勾选过，不等于用户端可以操作。

复核建议按季度进行一次，重点看四类账号：离职未回收、转岗未调整、长期未登录、权限只增不减。如果同一个账号同时具备系统管理与审计角色，先确认是否符合本单位的管理制度，再决定是分设角色，还是保留兼任并补上书面审批记录。

六、常见问题

一名成员同时属于多个权限分组，权限怎么核对？给成员追加分组前，先按权限最宽的那个分组核对一遍数据范围，多分组叠加最容易无意中放开权限，也比较容易出现查得到数据却打不开上下文的情况。

后台的受限用户设置和项目里的受限用户设置是一回事吗？不是。后台的受限用户分组作用于整个系统，成员只能编辑与自己相关的内容、不能新增；项目层面的受限设置只影响该项目，迭代或阶段层面的受限设置只影响对应的迭代或阶段。

项目管理员分组和普通权限分组有什么区别？项目管理员分组用于给高管或需要批量管理权限的人员快速开通。被设为此类成员后，除可访问指定对象外，还具备这些对象的管理权限，可按项目集、产品、项目、执行逐个选择，也可以勾选全部。

新岗位的权限结构与现有岗位接近，还需要重新勾一遍权限吗？不需要。复制分组会连同权限与成员一起复制，复制后按岗位差异微调即可，比逐项勾选更不容易漏掉依赖权限。

回到最初的问题，国产化账号体系的难点不在会不会点按钮，而在是否把身份、角色、数据范围当成一条链路来设计。对支持国产操作系统的项目管理平台来说，先把账号来源定下来，再用分组承载角色，最后用视野与对象权限收敛数据边界，权限配置才能长期可维护。

参考来源：禅道官方手册《维护权限》《维护用户》《LDAP用户验证》（zentao.net）；GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》（2019年5月13日实施）；GB/T 38636-2020《信息安全技术 传输层密码协议（TLCP）》；《中华人民共和国网络安全法》。