Joiner、mover、leaver（JML）

什么是 Joiner、mover 和 leaver（JML）？

Joiner、mover 和 leaver（JML）框架是一种 identity lifecycle management 模型，用于根据就业状态和角色变更来管理用户访问。它规定：为新用户（joiners）如何提供（provisioning）账户、权限和特权；当职责发生变化（movers）时如何进行调整；当用户离开组织（leavers）时如何撤销访问权限。

JML 通常会作为身份与访问管理（IAM）或身份治理与管理（IGA）计划的一部分来实施。其目标是在整个用户生命周期中，确保访问权限准确、及时，并与业务角色保持一致，同时不依赖人工干预。

joiners、movers、leavers（JML）流程如何运作

joiners、movers、leavers（JML）流程是对 JML 模型的实际运作执行。它由由人员变动事件触发的自动化或半自动化工作流构成，通常源自 HR 系统。这些工作流负责在目录、应用程序和数据系统之间协调身份创建、访问权限分配、访问权限修改以及撤销访问（deprovisioning）。

成熟的 JML 流程会集成 HR、IT 和安全系统，以确保访问决策保持一致、以策略为驱动并且可审计。正确实施后，它能够消除延迟、减少帮助台的工作负担，并最大限度地降低因过期或过度权限而造成的安全漏洞。

理解 JML 生命周期

JML 生命周期从访问角度展示了用户与组织之间关系的完整演进过程。它由三个核心阶段组成，这些阶段必须持续地进行治理。

Joiner 阶段： 新用户被接入。会创建数字身份，基于角色或属性分配基础访问权限，并应用诸如 MFA 和密码策略等基础安全控制。

Mover 阶段： 用户更改角色、团队、地点或职责。会对现有访问权限进行审查，移除过时的权限，并授予新的权限，以反映更新后的角色。

Leaver 阶段： 用户离开组织。账号会被禁用或删除，在各系统中撤销访问权限，移除特权，并重新分配数据或资源的所有权。

该生命周期是持续的，而非线性的。用户可能会多次变更，可能需要临时访问权限，或者切换为特权身份或非人类身份；所有这些都必须以一致的方式进行治理。

如何创建入职者（Joiners）、调动者（Movers）、离职者（Leavers）（JML）流程

要建立有效的入职者（Joiners）、调动者（Movers）、离职者（Leavers）（JML）流程，需要 HR、IT 和安全团队之间的密切协作。

首先识别权威的数据源，通常是 HR 系统，以触发生命周期事件。定义与业务职能相匹配的标准角色和访问配置文件，并在可能的情况下使用工作流和连接器自动化分配（provisioning）与回收（deprovisioning）。

对于调动者（Movers），应实施诸如访问审查以及自动移除旧有权限等控制措施，以防止权限蔓延（access creep）。对于离职者（Leavers），应优先在所有系统中快速且彻底地撤销访问权限，包括云应用、目录以及特权账户。

最后，将审计（auditing）和报表（reporting）嵌入到每一个步骤中。所有身份（identity）的变更都应可追溯、有时间戳，并与审批或策略决策关联，以支持安全与合规。

使用案例

• 医疗保健： 在确保临床医生、承包商和行政人员能够及时访问电子健康记录的同时，强制在角色变更或员工离职时立即移除访问权限。
• 金融服务： 支持职责分离，降低内部人员风险，并维护与监管要求一致的可审计访问控制。
• 企业IT： 在混合环境中对身份与访问进行集中管理，涵盖本地目录、SaaS 平台和云基础设施，并可在规模化场景下运行。

Netwrix 如何提供帮助

Netwrix Identity Manager 帮助组织以结构化、基于策略的方式管理加入者、调岗者和离职者的完整身份生命周期。

Netwrix Identity Manager 使用记录（records）来建模身份，为在 JML 生命周期整个过程中的访问管理提供一致的基础。加入者、调岗者和离职者事件可通过可配置的工作流处理，或与权威的 HR 系统进行自动同步，从而确保身份变更能够及时、准确且受控。

使用 Netwrix Identity Manager，组织可以自动化入职流程（onboarding），在角色变化时动态调整访问权限，并在用户离开时可靠地取消其访问。内置的治理、审批和审计追踪有助于强制执行最小特权、减少权限范围蔓延（access creep），并在不拖慢业务运营的情况下支持合规。