先看已有资产
多数企业已有目录服务或单点登录，再买一套权限平台等于制造第二个身份源。怎么判断该扩还是该换？把现有系统能覆盖的角色、系统数与审计字段列出来，缺口较小时扩展更便宜，也更容易通过安全评审。
采购适合标准场景
办公系统与通用后台的权限模型高度相似，套件里现成的角色模板与审批流能直接复用。边界在定制：一旦要求按项目、按合同、按数据行授权，套件改造成本会迅速超过自研，采购的成本优势反而消失。
自研的前提是有人
为什么自研不是省钱选项？因为它是长期投入：需要稳定的后端与安全工程师，还要有人跟进等保与内部审计要求。团队不足两人时，自研系统通常在上线一年内停止迭代，权限模型逐渐与组织脱节，运维也无人接手。
AI 场景单独算
模型调用、提示词、知识库检索、工具执行构成新的权限面，传统身份管理覆盖不到。怎么验证？选型时要求供应方说明这四类对象如何鉴权、如何留痕、如何按用户隔离检索结果，否则数据会在模型层绕开既有管控。
适用与不适用
适合谁
- 正在比较身份管理平台与定制交付的企业
- 已有目录服务、需要扩展 AI 权限面的团队
- 要通过等保或客户安全评审的项目负责人
不适合谁
- 系统单一、用户规模很小、没有专职运维的团队
- 希望一套采购覆盖全部异构系统且不改流程的项目
典型场景
某零售企业已有单点登录，覆盖办公与门店系统，但供应商与临时工账号仍走手工表格。评估后发现套件能覆盖七成角色，剩余三成涉及按门店与合同授权。最终选择在既有体系上扩展，AI 助手的检索隔离单独定制，避免再建一套身份库。
可执行步骤
- 列出已有的身份与权限资产，统计可复用的比例与主要缺口
- 按场景分成三类：标准办公、项目型授权与 AI 调用链
- 对三类场景分别测算自研、采购与外部交付的长期投入与人力
- 要求候选方演示 AI 权限面的鉴权与留痕，并写入确认单
常见坑
- 把采购当终点，未评估定制量，实施半年后仍在改角色模板，预算被二次追加，项目节奏也被打乱。
- 自研只算开发人力，没算等保整改与年度维护，第二年无人接手，系统带病运行，整改还得临时找人。
- 选型只看功能清单，不问 AI 调用链如何鉴权，上线后发现检索结果跨部门串数据。
自检与验收清单
- 已有身份资产的可复用比例是否测算
- 三类场景是否分别确定了交付方式
- AI 调用链的鉴权与留痕是否有演示
- 二次开发范围与知识产权归属是否写明
常见问题
采购套件能覆盖 AI 场景吗？
部分能覆盖账号与角色，但模型调用、提示词、检索结果隔离通常需要定制。选型时应要求演示具体链路，而不是只看功能列表；若供应方无法说明检索隔离方式，建议把这一层单独交给能改检索链路的交付方。
自研一定更可控吗？
可控的前提是有人长期维护。若团队规模不足、又没有明确的产品负责人，自研系统会在一年内停更，权限模型与组织脱节。此时采购加少量定制，反而更容易通过审计，也便于交接。
外部交付会不会被锁定？
取决于合同。要求交付方提供权限模型文档、接口说明与迁移方案，并约定知识库与配置的归属，锁定风险可控。完全不交文档的交付，即使当期投入低，后续变更成本也会很高。