管理，应该是一个熵减的过程。管理的使命是让企业内部的生产力，甲乙丙多方的生产关系，遍布全球的生产资料能有序高效的运行。企业越来越多的使用第三方能力，比如，人力，财务，物流等等。买方往往会得到某个 SaaS 系统的账号。这些三方系统要融入企业现有的管理体系经常充满挑战。像 IAM 等认证授权系统的对接，审计粒度等。这些要求会让它们游离于体系之外，它们是无序的离散的。这带来了混乱，让系统熵增。

应该通过管理手段让他们变得有序，这需要工具。

1. 痛点

1.1. 互联网企业：不想把密码告诉别人但总是有临时授权的需求

众所周知，有些系统的账号是要法人注册的，小公司无所谓，一个老板仨员工，谁干都一样。而公司做大做强以后，各部门都很健全了，还让老板动手就挺尴尬。我有一个朋友小王，他是市场部总监，电商的账号在老板那里。有一天，老板对他说：" 小王，你处理一下电商的那个投诉，我把登录的账号密码给你，你不要告诉其他人。"

小王总监说：" 好的，老板，我亲自处理。"

从这个场景中我们可以感受到老板挺别扭，王总监也挺为难。对老板来说只要把账号密码给出去，就已经 " 泄露 " 了。而王总监本来可以把具体的工作安排给其他人做，但为保守秘密，只能自己做。

1.2. 政府单位和国企：因案授权缺乏工具，行为审计粒度不足

政府单位和国企购买的第三方服务账号有限，在系统内也是因案授权按需使用。这些系统根据业务的敏感度，管理员设置了不同的访问方式，有的可以直接访问，有的需要安装特定的 VPN，有的还需要 VPN+IP 绑定。登录方式除了最常见的账号密码，手机短信，扫码之外，还有 Ukey 证书，生物信息登录等等。没有账号共享工具会影响办案办事效率。同时，在体系内把三方账号因案再授权时，对成员的使用行为缺乏细粒度的审计。

1.3. 外贸物流：每次分享完账号，就改一次密码

外贸物流企业日常订舱会经常访问五个网站，每个网站都有一个企业主体的账号，有几个员工专门负责。虽是专人专岗但有时也会需要临时把账号给其他人用，用完后老板都会手工改一下密码。不过依赖人工的都不太可靠，有时会忘记改，老板就会比较担心会不会有不专业的人士误操作。他的担心是有道理的，这些系统是企业的生命线，容不得有闪失。

从上面的几个案例中我们总结了账号资产管理的几个痛点。

1、 缺乏使用审计（误操作无法追溯）

2、 非授权使用（用户二次传播账号密码）

3、 缺乏管理流程（人员变动账号没有回收）

4、 工作效能低（使用条件苛刻，VPN 和 IP 绑定，使用 Ukey 等）

2. 贝锐洋葱头是账号管理工具

2.1. 系统架构

企业需要一套内部的账号资产管理系统，用于规范企业内成员对各平台账号的使用。贝锐洋葱头提供了一个解决方案。它基于 C/S 架构，客户端是一个企业浏览器，服务器可以私有化部署也可以使用贝锐的 SaaS 服务。

2.2. 设计原则

基于 4A 原则（Account、Authentication、Authorization、Audit），成员执行登录操作，认证成功后获得相应的授权，授权包括他可以使用哪些第三方系统的账号。成员在使用这些账号访问对应的网站应用时， 他的访问行为会被审计。

2.2.1. 账号

对接组织现有的账号管理体系，如企业微信，钉钉，飞书，OpenLDAP, AD 域等，洋葱头也支持格尔等政府单位常用的 PKI 系统。无论是将目录服务中的组织架构动态同步到洋葱头管理后台，还是半同步半手工建立组织架构，洋葱头 SaaS 版和私有化版均可以支持。

2.2.2. 认证

支持传统的账号密码认证，短信，扫码，OTP，OAuth2.0, SAML 等常见的认证方式。

2.2.3. 授权

管理员在服务器端配置策略，下发给洋葱头执行。策略的下发对象是 " 用户 " ，策略下发给用户 A，可以理解为是对 A 的授权。当用户 A 登录洋葱头时，即获得相应的授权。

2.2.4. 审计

作为一套完整的 toB 系统，审计是必不可少的。在对用户授权之后， 用户访问业务网站时的操作会被审计。审计的粒度包括 PUT, POST 等请求明文，当用户有鼠标点击动作时还会进行截图存档。洋葱头的审计行为是明确的告知用户的，仅限于指定网站。用户在其他网站上的操作不会被审计。

2.3. 洋葱头的核心功能

洋葱头企业账号资产管理系统有以下核心功能。

2.3.1. 强审计

审计是企业管理闭环中不可或缺的环节，传统上企业会使用上网行为管理或终端安全管理产品。但随着 TLS/SSL 应用层加密的普及，端侧和网络设备已经很难审计到业务内容了。洋葱头在审计方面具有特殊的优势，它是浏览器，所有内容在浏览器呈现出来之后都是明文的。洋葱头可以对用户访问网站的行为进行细粒度的审计，包括 PUT, POST, GET, HEAD 等请求的明文，洋葱头还可以在用户点击鼠标时对屏幕进行截图。

审计策略是管理员下发的只能针对具体的业务网站，用户侧可以清晰的看到自己在访问哪些网站时被审计，当用户没有使用洋葱头时，或访问的是个人网站时，审计策略不会生效。这个特性在强审计之外有效保护了用户的隐私，避免功能被滥用。

2.3.2. 账号代填

企业购买的第三方系统大多需要通过浏览器访问，它们大多是 web 服务。通常，人们在访问这些第三方系统的网站时需要手工填写账号密码（这个账号即是本文所说的 " 账号资产 "）。使用洋葱头后，管理员在控制台下发策略，将访问第三方系统 "W" 的账号授权给用户 A。当用户 A 登录洋葱头访问 "W" 时将不再需要手工填写账号密码，洋葱头会帮用户代填，这个过程是由洋葱头根据策略自动执行的，洋葱头在代填密码时还会把密码遮罩起来，避免密码被用户 A 获得。用户不知道密码，也就不会泄露密码。同时，密码由管理员统一管理，也可以保证密码强度，密码定期更新等管理制度的执行。

2.3.3. 登录凭证分发

用户使用普通浏览器登录第三方系统的网站后，浏览器会在 cookie，LocalStorage 等位置存储 token、用户 id、设备 ID 等一系列登录凭证。管理员在使用洋葱头第一次登录成功后，洋葱头会把这些登录凭证上传到服务器。管理员在控制台通过策略把这些登录凭证授权给企业内部成员。当成员登录洋葱头时，洋葱头会根据策略将登录凭证同步到本地，用户访问第三方系统网站时自动处于登录状态。

2.3.4. Ukey 映射

一些第三方系统的网站在登录时需要使用 Ukey， 账号是存储在 Ukey 中的。这种情况下账号代填功能无效。 同时，由于第三方系统的网站会通过浏览器检测本地的 Ukey 设备，即使远端的洋葱头浏览器获得了 cookie 等登录凭证，由于远端没有接入 Ukey，也依然无法访问第三方系统的网站。洋葱头通过 USB-over-IP 技术，将本地的 Ukey 映射到远端洋葱头设备中，实现 Ukey 远程接入。这样，Ukey 在物理上只需要接入一台设备，即可以远程授权给多台设备使用。

3. 洋葱头的价值

注：需要部署洋葱头私有化版本，使用时请遵守各平台协议。

在数字化、云化加速的今天，企业账号已不仅仅是一个登录入口，而是关乎业务安全、运营效率与合规责任的核心资产。

从账密管理到特权账号管控，从权限授权到因案/因事授权、一事一授，管理的本质，就是将分散无序的账号资源纳入有序可控的体系中，实现从 " 熵增 " 到 " 熵减 " 的转变。

贝锐洋葱头，正是帮助企业构建这一秩序的关键工具。

它用精细化的权限控制、可追溯的行为审计、安全可控的账号共享，让每一次访问都有章可循，让每一个授权都有迹可查。当账号管理不再是隐患，而是生产力的一部分，企业才能真正释放数字化协作的潜能。