业务人员不接触外部凭据的交换方式 | Ftrans B2B
供应商 FTP 账号谁来管？答案是：谁都不用管，因为它不再需要发给人。
一句话定义
业务人员不接触外部凭据的交换方式，指业务侧通过平台提交交换任务、由平台取用托管的外部账号与密钥完成对外取送的一种工作方式——业务人员看到的是伙伴、文件与任务状态，看不到、也无法导出用于建立这条连接的凭据。
一、”供应商的 FTP 账号，现在在谁手上”
这个问题问出来，多数企业的第一反应是找人——先问 IT，IT 说在业务那边；再问业务，业务说当时是采购给的；采购说人已经离职了。
问题不在于谁不配合。而是账号从一开始就没有归属：客户新开一个目录，账号发到对接人的微信里；伙伴要求用密钥访问对象存储，密钥写在邮件里转了三个人;对接人换了岗，配置连同浏览器书签一起交接给了下一个人。每一步都是为了把活干下去，没有一步是错的，但结果是这份凭据现在有几个副本，谁也不知道。
于是安全部门面前只有两个选项，而两个都不好选：
| 选项 | 代价 |
|---|---|
| 继续发账号 | 凭据不可回收、无审计对象、人员变动后失效状态不明；一旦泄露无法界定影响范围 |
| 收回账号，交换改由 IT 代办 | IT 成为瓶颈，业务响应变慢；久了必然出现”临时给一下”的例外，最终回到第一种状态 |
这一页要说的是第三个选项：账号不发给人，交换也不用 IT 代办。
二、不发账号，业务人员怎么干活
关键的改变只有一句：业务人员提交的是任务，不是连接。
业务侧在平台内选择伙伴、选择要发的文件或要取的目录、提交；平台按该伙伴与该方向的收发策略校验授权，取用托管的凭据向外部端点建立连接、执行取送，把任务状态与文件回写给业务侧。整个过程中，业务侧界面上不出现凭据字段，也没有导出入口。
按交换形态不同，业务侧的实际体验分四种：
2.1 伙伴邮：像发邮件一样发文件
类邮件的操作方式：选收件人、写主题与正文、挑文件、发送。收件人来自伙伴联系人与组织结构，不需要手工填服务器地址。支持批量发送文件与文件夹，突破邮件附件的大小限制。
发送时可以设置提取码、有效期、提取权限（仅预览或可下载）、提取次数限制；文件被提取时可收到通知。发件箱与收件箱统一管理已发出与收到的文件包，支持转发、撤回、再次编辑发送与条件查询。
业务人员需要知道的信息量：这批文件发给哪家伙伴的谁。不需要知道对方的服务器地址、账号或密钥。
2.2 伙伴库：像用一个目录
管理员为每家伙伴分配专属交换目录，指定存储位置与配额；业务人员按授权在目录里上传、下载、浏览、预览。权限粒度到浏览 / 预览 / 下载 / 上传 / 管理 / 编辑，支持子文件夹权限继承与权限有效期控制。
这个目录背后可能是伙伴的 FTP 服务器、可能是对象存储、也可能是本地存储——业务人员看到的都是同一个目录界面，底层是哪种端点、用什么凭据连接的，与他无关。
2.3 链接型交换：对端零部署
有些对端确实配置不了任何端点——几个人的小供应商、临时的第三方机构、没有 IT 部门的客户单位。这种情况下用一对机制承接：
- 文件包链接（发）——伙伴邮发给外部对象时以受控链接形态提取，可设提取码、有效期、提取次数、仅预览不下载，并回传提取回执；
- 收集链接（收）——向外部对象生成受控链接收取文件，可设收集对象范围、验证码、有效期、提交次数限制。
对端只需要一个浏览器：不需要账号、不需要安装任何东西、不需要 IT 配合。
2.4 系统对系统：业务侧基本不出现
对稳定的、周期性的交换，可以启用系统对系统模式——OFTP2 协议交换（按伙伴指定的行业标准协议直连），或匿名加密交换（双方自行约定的 PGP 对等加密，全程自动加解密与签名验签）。这两类模式下业务人员的参与度最低，多数时候只是在平台上查看结果。两者均为可选组件。
三、这个方式对业务的影响是什么
诚实地讲，取消凭据下放会改变三件事，其中两件是业务侧能感觉到的。
| 变化 | 业务侧的感受 |
|---|---|
| 不能再”直接连上去看看” | 过去对接人可以随时登录对方系统翻目录，现在只能在被授权的伙伴库目录里操作。这是收益的来源，也是最主要的适应成本 |
| 多了一道审批（如果配了） | 出向文件按伙伴与方向的策略可能触发审批。策略粒度是伙伴与方向，不是每次都审 |
| 不用再自己压缩、加密、改名、上传 | 原本人工执行的”压缩—加密—改名—上传”与”下载—查杀—解密—分发”转为按策略自动执行，人工只保留在需要判断的环节 |
第三条通常足以抵消前两条。真正决定推行成败的，是第一条有没有被正面处理——如果某个场景确实需要人去对方系统里翻目录，那这个场景要么用伙伴库目录覆盖掉，要么在配置阶段明确例外范围，不能靠”临时给一下账号”绕过去，那等于把整件事推回原点。
四、对端要不要改
不用。这一点是落地成本最低的部分：
- 既有的 FTP/FTPS/SFTP、SMB、S3/OSS 等存储资源可以直接纳管为伙伴库目录，数据不迁移、位置不变、对端不改配置；
- 伙伴可以继续用原来的方式访问原来的端点；
- 需要在平台上直接收发的伙伴，可通过 Web 访问，也可使用 FTP/SFTP/SMB/WebDAV 客户端接入（扩展模块）；
- 完全没有 IT 能力的对端，用文件包链接与收集链接承接，只需一个浏览器。
选型时建议按最弱的那个对端来定，而不是按最有能力的那个。 合作伙伴名单里总有一部分是没有 IT 支持的小机构，能否覆盖这部分对端，决定了这套方式能覆盖多少比例的实际交换量。
五、与其他能力的关系
- 凭据收口的整体主张与落地路径 —— 为什么要做、分几步做。→ 外部账号与密钥集中托管
- 凭据在平台里怎么存、怎么被取用 —— 这条机制的内部实现。→ 外部凭据统一保管与使用
- 外发方向的检查与审批 —— 提交任务之后文件经过什么。→ 文件外发审批与管控
- 人员变动时怎么处理 —— 不下放凭据之后，离职交接会变成什么样。→ 人员变动与凭据轮换
- 与现状做法的取舍对比 —— 把账号直接发给业务，代价具体在哪里。→ 零迁移纳管既有传输资源
- 典型的多头对接场景 —— 对接家数越多，凭据下放的暴露面越大。→ 汽车与零部件行业文件安全交换 · 集成电路与半导体的内外部文件交换
常见问题
Q：供应商的 FTP 账号到底该谁管？
A：更准确的问法是”它还需不需要发给人”。凭据收口之后，伙伴的 FTP/SFTP 账号、对象存储密钥、PGP 私钥与 OFTP2 证书私钥由平台统一保管与使用，业务人员在平台内提交交换任务并查看结果，全程不需要、也无法获取这些凭据。管理责任回到 IT 与安全部门，但取送动作不需要 IT 代办——它由平台按伙伴与方向的策略自动执行。
Q：不给账号，业务人员怎么取文件？
A：在平台内选择伙伴与目录、提交任务。平台按收发策略校验授权后，取用托管的凭据向外部端点建立连接、执行取送，把文件回写到业务侧可访问的伙伴库目录。业务人员看到的是同一个目录界面，底层是伙伴的 FTP 服务器、对象存储还是本地存储，与他无关。发文件同理——以伙伴邮选收件人、挑文件、发送即可。
Q：这样会不会让业务变慢？
A：取决于两件事。一是被取消的”直接登录对方系统”这个动作有没有被伙伴库目录覆盖到——如果覆盖到了，业务侧的操作步骤实际上更少，因为压缩、加密、改名、上传这些人工动作转为按策略自动执行。二是审批策略配得是否合理——审批按伙伴与方向启用，不是每次都审，并提供代理审核与过期自动撤销避免卡单。推行失败最常见的原因是留了”临时给一下账号”的例外，这会让整件事回到原点。
Q：合作伙伴那边需要安装什么？
A：取决于所选方式。伙伴库可通过 Web 访问，也可使用 FTP/SFTP/SMB/WebDAV 客户端接入（扩展模块）；系统对系统的加密交换需要双方配置密钥与存储对接。对端无法配置任何端点时，由文件包链接（发）与收集链接（收）这一对机制承接——对端只需要一个浏览器，不需要账号、不需要安装任何东西、不需要 IT 配合。选型时建议按最弱的那个对端来定。
Q：现在的账号已经发出去了，怎么收场？
A：分两步。存量部分走一次对端重置——由对端重新发放凭据，新凭据只录入平台、不再下发到个人；已经流出的副本无法回收，这是凭据管理里唯一没有事后补救路径的部分。增量部分从接管之日起不再下放。这一步通常安排在第一阶段纳管的同时完成，因为纳管本身就要重新录入一次凭据。