账号权限最小化原则实操
导语：权限给多了是风险、给少了影响干活，最小化的精髓是按"岗位必需"精准授权并定期回收。
一、为什么要关注（背景与痛点）
政企系统里最常见的越权风险，不是黑客多厉害，而是权限堆出来的：员工调岗后旧权限没收回、临时账号忘了注销、一个普通文员却拥有整库删除权。某政企单位曾因离职人员账号长期未停用，导致历史档案被误删且无法追责。
权限最小化的价值在于：即使单个账号失陷，波及面也被限制在"该账号本就需要的最小范围"，把事故影响压到最低。它也是等保2.0、密评等多项合规的硬性要求（默认拒绝、权限最小化）。
二、核心原理 / 关键概念
- 最小权限原则（PoLP）：主体只拥有完成本职工作所必需的最小权限集合，不多给、不长期给。
- RBAC（基于角色的访问控制）：把权限挂在"角色"上，人赋角色而非直接赋权限，调岗即换角色，管理清晰。
- 默认拒绝：未明确授权的请求一律拒绝，从"开着门再拦人"变成"关门再开门"。
- 权限三态：永久权限、时限权限（项目期有效）、临时权限（工单审批后生效，到点回收）。
- 分离职责（SoD）：关键操作分人执行，如"能发起备份的人不能同时能删除备份"，避免一人通吃。
三、落地做法 / 操作步骤
- 梳理岗位权限矩阵：按部门/岗位列出"需要哪些系统、什么操作、什么数据范围"，形成《岗位—权限对照表》。
- 建角色而非直接授人：在目录服务或应用里建角色，把权限绑定角色，账号只加角色。
- 默认拒绝 + 白名单：共享目录、管理后台默认无权限，按矩阵逐项开通。
- 时限与审批：临时权限走工单审批，设定自动过期；项目权限绑定项目周期。
- 定期回收：
- 离职/调岗当日停用并回收账号（可脚本化：
Get-ADUser -Filter {Enabled -eq $true} | ...配合 HR 清单核对）。 - 每季度做一次权限复核，清理僵尸账号与超额权限。
- 离职/调岗当日停用并回收账号（可脚本化：
- 关键操作双人：配置分离职责的策略，敏感动作需第二人复核。
权限自查检查清单
- 已建立岗位—权限对照表
- 权限通过角色下发，无人被直接堆权限
- 临时/项目权限设了自动过期
- 离职账号当天停用回收
- 每季度权限复核有记录
四、与群晖NAS / 信创云盘的对应能力
存储与文档层的权限最小化可直接落地：
- 信创云盘：支持按部门/项目建空间，配合角色做"可见、可编辑、可管理"分级授权，默认新成员无权限、按岗开通；并能对敏感目录设独立权限与水印/审计，对应最小化与分离职责。
- 群晖NAS：如 DS425+、DS725+、DS1525+ 等型号，提供共享文件夹权限、用户组与 ACL，可把"财务"“人事"等目录按组隔离，普通成员默认不可见，管理员按需授权；结合审计日志可观察越权访问尝试。
- 两类方案都能把"谁该看到什么"固化成策略，减少人为多授权。
五、常见误区 / 避坑提醒
- “方便"优先于"安全”：为省事给全员可写，等于给所有人一把万能钥匙。
- 调岗不收权：人走了权限还在，是多数内鬼事件的根源。
- 管理员账号共用：多人共用 admin，出事无法定位到人。
- 只授不审：授权后从不再复核，权限随人员变动悄悄膨胀。
- 把只读当安全：只读也分范围，读全库同样可能泄露。
六、小结与行动建议
权限最小化不是"卡业务”，而是"按岗精准给、到期必回收"。先从一张《岗位—权限对照表》起步，用角色替代人肉授权，把临时权限全部时限化，并把离职回收做成自动化动作。建议把"季度权限复核"写进运维制度，让权限始终贴合真实岗位。