私有化项目管理平台多子公司数据怎么隔离？一文读懂

私有化项目管理平台的多子公司数据隔离，不是把系统装进企业机房就完成了。它指的是：在自有环境运行一套或一组项目管理系统时，通过部署边界、身份组织、角色权限、对象访问控制和共享规则，让各子公司的需求、任务、Bug、用例、文档和报表只被授权人员看到，同时保留必要的跨公司协作通道。

不少集团上线后遇到的情况很相似：系统确实部署在内网，但项目列表全公司可见，搜索能搜到别的子公司文档，导出和附件链接也没有边界。问题不在私有化，而在隔离设计。

先给结论：私有化部署不等于多子公司数据隔离

私有化部署是一种交付形态，解决的是数据放在哪里、服务器和数据库由谁运维；它不会自动生成子公司之间的数据边界。多租户是一套系统服务多个组织，并在应用或数据层划分边界，属于架构层面的隔离设计。同一套私有化系统，可以只服务一个组织，也可以服务多个子公司，后者需要在应用和数据层补上边界。

真正要同时看三层：环境层，数据库和实例是否分开；身份层，账号和组织是否独立、能否统一登录；对象层，项目集、产品、项目、执行以及文档、报表是否按人授权。任何一层缺失，隔离都不完整。

判断标准很直接：用一个子公司账号走正常入口、搜索、导出、API 和附件链接，能不能碰到另一个子公司的数据。能碰到，就还没有隔离。

多子公司到底要隔离哪些数据

先盘点数据对象，再谈隔离方式。需要纳入边界的有：

• 组织与账号：公司、部门、用户、角色、管理员范围。
• 项目对象：项目集、产品、项目、执行、需求、任务、Bug、用例、发布。
• 知识与文件：文档、附件、评审记录、版本历史。
• 汇总与导出：报表、看板、搜索索引、导出文件、API 返回。
• 行为记录：登录、权限变更、删除、跨公司访问。

这些对象不必全部切断。可以分成三类：必须隔离的敏感数据；允许受控共享的协作数据；允许总部统一汇总的统计指标。边界先画清，后面的部署和权限配置才有依据。

三种隔离架构：独立数据库、独立 Schema、共享表加租户标识

部署架构决定隔离强度的上限。常见做法有三种，另有按对象分级的混合模式。

隔离越强，跨子公司汇总和统一运维越难；隔离越弱，越依赖应用层的过滤和测试。

独立数据库或独立实例，每个子公司一套库，备份、恢复、迁移可以分开做，跨公司统计要靠接口或数据仓库汇总。共享数据库、独立 Schema，实例共用、模式分开，成本和隔离强度居中，升级时要逐套迁移。共享表加租户标识，所有子公司在一套表里，靠租户字段区分，成本低，但一条查询漏掉租户条件就可能串数据。混合模式把核心子公司单独放，其他子公司共享，再通过统一汇总层出集团报表，适合边界不一致的集团。

私有化环境里同样可以做多租户。如果平台只支持共享表，而子公司要求独立数据库，改权限解决不了，需要调整部署形态。

单套系统内怎么落地：组织、角色、对象权限三层

多数集团不会为每个子公司单独部署一套系统，而是在一套私有化平台里做逻辑隔离。以禅道为例，禅道官方文档把权限拆成权限分组、视野维护和对象访问控制，分别对应组织、角色和数据范围。

组织架构解决“人在哪个公司”

用公司、部门、用户记录汇报关系。部门是组织视角，权限分组是权限视角，两者没有必然关系。把两者混在一起，常见结果是部门调整后权限跟着乱。

权限分组解决“能做什么”

按角色建模板，例如集团管理员、子公司管理员、项目负责人、普通成员、审计员、外部干系人。权限维护控制具体动作，视野维护控制可访问视图以及可访问的项目集、产品、项目和执行。一个人属于多个分组时，权限按并集计算；分组越多，越要检查叠加后的结果。

对象访问控制解决“能看哪一条数据”

禅道官方文档列出的访问控制包括公开、私有和白名单；项目还可以设置独立权限分组，权限控制分为继承和重新定义。集团场景建议默认私有，跨公司访问走白名单或干系人，不要图省事把项目设成公开。

这里有一个容易误判的细节：视野维护里的可访问项目集、产品、项目、执行，留空代表没有访问限制，不是不能访问。要限制范围，必须明确勾选对象。

共享边界解决“哪些可以一起看”

子公司之间总有联合项目。做法是建一个共享项目集或共享项目，只加入需要协作的人，指定负责人和退出时间，项目结束就回收权限。共享区是受控通道，不是把两个子公司的空间整体打通。

总部和子公司还要分权。项目管理员权限分组可以按对象授予，勾选全部就拥有所有对象的管理权限；集团场景要避免把“全部”直接给子公司管理员。

一套可执行的配置顺序

按下面顺序落地，能少走弯路：

1. 画数据边界：按法人、业务和敏感级别，列出必须隔离、可共享、可汇总的数据。
2. 选部署架构：用两家子公司试点，验证独立库、独立 Schema 或共享表能否满足要求。
3. 建组织与身份：维护公司、部门、用户；需要统一登录时对接 SSO 或 LDAP，并明确离职回收流程。
4. 建角色模板：按岗位建分组，不按个人建；管理员、审计员和普通成员分开。
5. 配对象权限：默认私有，明确勾选可访问对象；例外用项目级权限分组。
6. 设共享区：共享项目只加必要成员，设负责人、期限和复核节点。
7. 做负向测试：用 A 子公司账号访问 B 子公司的项目、搜索、导出、API 和附件链接；再测权限变更和离职账号。
8. 定期复核：每季度检查权限、共享项目和导出记录；每年做一次分公司数据恢复演练。

配置完成的标准不是页面能打开，而是越权路径被堵住。

多子公司隔离最常见的五个误区

• 私有化等于隔离。 部署在内网只说明数据位置，不说明访问边界。
• 部门等于权限组。 部门解决汇报关系，权限组解决能做什么；组织调整时两者要分别维护。
• 可访问对象留空等于不能访问。 在禅道文档里，留空代表没有限制；要限制就必须选对象。
• 共享项目和白名单长期开着。 临时协作变成长期入口，是常见的越权来源。
• 只测正常访问。 搜索、导出、API、附件链接、报表和下钻都可能绕过页面权限。

选型与验收清单

选型时不要只问“支不支持多子公司”，把问题拆成可验证项：

这张表里最容易漏的是备份恢复和审计。隔离不只发生在登录那一刻，数据被导出、备份、恢复时同样要有边界。

禅道官方资料显示，其已服务国内 100 万+ 团队；这类规模化使用能说明产品覆盖面，但不能替代你所在集团对权限、审计和恢复能力的实测。

常见问题

多子公司一定要独立部署吗？

看三个条件：是否有强合规或物理隔离要求、子公司是否需要独立升级和备份、集团是否需要实时跨公司汇总。前两项是硬约束时选独立实例；只要求日常协作隔离，可先用一套系统加对象权限，并保留拆分路径。

私有化部署后数据安全谁负责？

按控制面拆：企业管基础设施、账号生命周期、备份恢复和补丁执行；厂商管产品漏洞修复、版本升级和支持。合同里要写清升级时限、漏洞响应和数据恢复责任。

子公司之间要共享一个项目怎么办？

单独建共享项目，不开放整个子公司空间；成员用白名单或干系人，设负责人和到期时间。共享项目内的文档、报表和导出权限要单独检查，避免项目可见但附件可被全公司下载。

回到开头的问题：私有化项目管理平台的多子公司数据隔离，不是某一个开关，而是环境、身份、对象权限和共享规则一起成立。先把数据边界画清，再选部署架构，最后用负向测试验收。做到这三步，私有化才真正变成可控的隔离基础。