GOPS2016深圳大会-王威.pptx

新东方员工账号管理体系的演进之路王威，新东方集团新东方品牌早年账户管理现状各学校及分支机构，每月通过EXECL上报账号开通列表。集团IT人工导入AD系统，创建邮箱。邮箱密码全部一致。姓名重复的需人工区分离职删除邮箱极少不愿意使用企业邮箱2002-2010，总计4000个账号，当时企业员工2万人。大量使用163邮箱。新东方账户管理系统面临的挑战55000个企业专兼职和合作方账号假如按离职率20%计算，每年账号更替率就会1/5，每年11000个账号会需要被创建和注销。全国60多个学校和子公司，近2000个部门的组织结构归属。每年仅1000次员工升迁、调岗，机构间人员调动导致的组织结构信息变更。座机分机号分配、员工密码修改、统一登录、安全管理、合规。新东方账户管理系统一期目标（2012年）启动该功能建设原因：新东方已有统一的HR系统（不含兼职及合作方）新东方的组织结构、人员信息(岗位信息包含于人员信息表中)主要存储于EHR系统；新东方已有统一的AD系统，但仅限于支持LDAP认证；HR系统和AD系统不同步，AD账号手工维护，导致账号同实际员工无法一一对应，维护难度和强度大。越来越多的系统需要一套权威的用户数据源及权限管理；对于未来新建系统需要采用统一的企业目录提供认证和权限管理服务；ERP项目目标近期目标： 实现对新东方内部组织结构、人员、岗位、职务的存储和有效管理 满足新东方现有各系统的用户与权限管理的要求 为统一的企业身份管理奠定基础 中远期目标： 企业目录成为新东方内部非常重要的IT基础架构 为企业内更多系统及应用提供数据支撑服务 OAKM新东方账户管理系统一期主要功能统一用户公共服务提供如下服务：组织结构信息查询 —— 提供统一的集团组织结构、部门、岗位等查询员工信息查询与维护 —— 提供统一的员工信息、员工汇报链关系信息等查询员工数据孤岛的打通—— 提供E-HR、AD之间数据的汇集和同步，并消除ERP、OA系统中自维护账户体系，集成接入统一用户公共服务平台。（大量数据清洗工作）新东方账户管理系统一期LDAP结构设计新东方账户管理系统一期应用场景提供给以下系统模块使用：集团E-HR系统平台同统一用户目录、AD同步，实现入离职自动创建和关闭账户，减少机构和学校大量账号申请流程和创建删除工作量。集团OA平台用户和组织结构自动同步，减少OA大量人工维护工作量集团知识管理平台，组织结构查询、用户查询；找人、汇报链关系查询等；知识库授权时关联整个集团组织结构集团ERP系统使用AD认证，实名制业务账号，提高业务安全准入等级。新东方账户管理系统一期应用场景新东方账户管理系统二期目标（2014年）启动该功能建设原因：新东方兼职及合作方账户需求大量存在；（约1万账户量）新东方邮箱、OA、KM的员工头像需要统一；新东方员工期望能有方便统一修改密码和找回密码的途径；新东方存在大量群组沟通需求，如组织机构群组、自定义群组等。越来越多的部门申请公共对外邮箱，需要方便管理；对管理员的操作进行日志合规审计。项目目标近期目标： 提供友好的账户管理平台，从AD授权管理转变为WEB管理 提供友好的，类似互联网的员工账户交互体验，对密码、头像等提供统一界面和数据源。拓展企业身份管理的应用范围，提升友好型 中远期目标： 企业目录成为新东方内部非常重要的IT基础架构 逐步让员工参与账户管理，从被管理到自我管理的阶段新东方账户管理系统二期主要功能账户管理系统提供如下服务：密码自维护—— 通过对接短信接口，提供找回密码、修改密码的功能新东方账户管理系统二期主要功能账户管理系统提供如下服务：头像自维护—— 提供员工头像维护入口，让员工参与账户信息的更新手机信息自维护—— 允许员工更新自己的手机号码新东方账户管理系统二期主要功能账户管理系统提供如下服务：邮箱自助扩容—— 提供员工自助申请扩容邮箱VPN权限申请—— 员工自助申请VPN权限新东方账户管理系统二期主要功能账户管理系统提供如下服务：兼职、合作方信息维护 —— 提供统一的实习生、兼职、合作方信息维护和查询，避免在各个系统重复维护该信息，提供统一的员工信息全生命周期管理新东方账户管理系统二期主要功能账户管理系统提供如下服务：群组维护 —— 提供自定义群组的维护，如全国秘书群，全国校长群，全国高管群，全国市场营销主管群等，提供固定的组织结构群组的自动维护，如上海学校市场部、南昌学校教务部等。新东方账户管理系统二期主要功能账户管理系统提供如下服务：SSO统一登录 —— 企业内部应用系统同AD账号绑定，第三方互联网业务账户系统打通。新东方账户管理系统三期目标（2015年）启动该功能建设原因：新东方账户密码安全问题解决教师管理平台（ERP模块）的集成同电话系统集成同统一打印系统和门禁卡系统集成项目目标近期目标： 提高账户管理的安