第 18 章 · 用户、权限与账号生命周期
适用对象：备份管理员、安全管理员 · 阅读约 13 分钟 · 对应产品界面版本 v1.2.0
控制台里有两种「账号」，很容易混：用户是登录控制台的人员账户，服务器凭证是平台去访问被保护服务器时用的身份。两者名字可能一样，但用途、授权对象和维护流程完全不同。这一章先把这两条线分开，再讲账号从申请到注销的完整流程。
读完这一章你会做：
- 分清控制台用户与服务器凭证，知道各自在哪里维护
- 创建、编辑、停用、删除一个控制台用户，并在事后验证权限真的生效了
- 按「资源范围 × 操作类型」两个维度设计授权，而不是只按角色名称给权限
- 在人员离岗时，一次性完成停用账号、换凭证、撤销自动化调用、复核在线会话四件事
两种账号
| 对象 | 在哪里维护 | 用途 | 谁在用 |
|---|---|---|---|
| 控制台用户 | 系统管理 → 用户管理 | 登录控制台、操作平台功能 | 人 |
| 服务器凭证 | 配置中心 → 服务器凭证 | 平台访问被管理服务器的身份 | 平台自己 |
「重置密码」这句话在两条线上指的是完全不同的动作，审批流程也不一样。重置控制台用户密码影响的是某个人能不能登录；更新服务器凭证影响的是所有引用该凭证的资源还能不能备份。
找到要维护的用户
进入系统管理 → 用户管理，可以用组织树加筛选条件定位账户。
| 可用的查询条件 | 列表显示的字段 |
|---|---|
| 用户名称、手机号码、用户状态、创建时间 | 名称、昵称、归属部门、手机号码、状态、创建时间 |
先定位到正确的用户，再做维护。列表页同时提供添加、编辑、导入、导出和「更多」操作入口。
创建用户
必填的只有昵称、用户名称和密码三项；归属部门、岗位、角色都是下拉选择，角色决定这个账号能做什么，归属部门决定它在组织树里的位置。
| 字段 | 怎么填 |
|---|---|
| 用户昵称 | 按实际人员填写，用于界面显示 |
| 用户名称 | 登录名，按命名规范填写 |
| 用户密码 | 由账户管理流程通过安全渠道交付本人，不写进文档、邮件正文或群聊 |
| 归属部门 | 按组织树选择 |
| 岗位 | 按实际职责选择 |
| 角色 | 按已批准的职责选择，不按习惯选 |
| 用户状态 | 正常 / 停用 |
| 备注 | 建议写上工单号或责任人，便于事后追溯 |
角色名称只是一个标签。在向使用者发布「某角色能做什么」之前，必须用真实账号做一次权限测试，或者拿到产品侧的正式权限矩阵。见本章「角色与权限」。
日常维护
改之前先核对
编辑之前先核对账户名称、组织、状态和这次变更的目的。变更角色或停用账户之前，先确认它的业务影响：这个账号是不是某个自动化流程在用，有没有正在跑的作业依赖它。
改完之后要用授权检查流程确认结果。列表里状态显示「正常」只说明账号没被停用，不说明权限配对了。
各类维护动作
| 场景 | 步骤 | 要点 |
|---|---|---|
| 重置控制台用户密码 | 1. 进入系统管理 → 用户管理，按用户名或状态筛选定位账户；2. 勾选该账户，打开「更多」菜单；3. 选择「重置密码」；4. 输入并确认新密码；5. 提交后确认结果；6. 通过安全渠道把初始密码交给本人，并要求首次登录后修改 | 必须有工单与本人身份核验；不得在文档、邮件正文或聊天记录里留存明文密码 |
| 修改本人密码 | 登录后进入个人信息 / 修改密码入口，输入原密码与两次新密码后提交，按提示重新登录 | 新密码须满足组织的复杂度要求 |
| 重置服务器凭证 | 1. 进入配置中心 → 服务器凭证，定位凭证；2. 编辑并更新账号或密码；3. 保存后对引用该凭证的资源执行连接测试；4. 抽查一次备份或恢复验证；5. 记录变更与验证结果 | 失败时执行经批准的回退方案 |
| 停用 / 启用账户 | 勾选账户 →「更多」→ 停用（或启用），确认二次提示后提交 | 停用前确认没有在跑的作业依赖该账号；会话是否立即失效见下文 |
| 删除账户 | 勾选账户 →「更多」→ 删除，二次确认后提交 | 删除前保留审计关联并完成交接。优先停用而不是删除 |
| 批量导入 / 导出 | 用导入模板批量创建，导出用于账号清单核对 | 导入前先在测试账户上验证一遍 |
上表的步骤按产品文档整理，「更多」菜单里实际有哪些动作、名称叫什么，以你现场看到的界面为准。
角色与权限
权限矩阵
下表是按职责裁剪权限时的设计口径，行是角色，列是功能域。
| 角色 | 资源 | 策略 | 备份 | 恢复 | 删除 | 配置 | 用户管理 | 日志 |
|---|---|---|---|---|---|---|---|---|
| 系统管理员 | 增删改查 | 增删改查 | 增删改查 | 增删改查 | 增删改查 | 增删改查 | 增删改查 | 查（可导出） |
| 备份管理员 | 增改查 | 增删改查 | 增删改查 | 增删改查 | 增（受策略约束）改查 | 增改查 | 无 | 查（可导出） |
| 运维操作员 | 查 | 查 | 增改查 | 增查 | 无 | 无 | 无 | 查（仅本人作业） |
| 审计员 | 查 | 查 | 查 | 查 | 无 | 查 | 查 | 查（可导出，不可改） |
「删除」一列指对资源、策略、还原点与作业记录的删除操作，属于高风险动作，建议单独审批并留存证据。审计员不应拥有任何修改类权限；如果审计员可以对告警执行「标记已响应」或「删除」，要确保这个动作本身也被审计留痕。
这是权限设计用的骨架，不能直接当配置依据。SupDRC Agent v1.2.0 的原生角色名称、默认权限、是否支持自定义角色、是否支持资源级与操作级细粒度授权，都需要以产品侧的正式材料或实测结果为准。
数据范围
权限矩阵只回答了「能做什么」，还有第二个维度：能对哪些对象做。只按角色名称授权而忽略数据范围，会造成越权可见或越权操作。
| 范围维度 | 含义 |
|---|---|
| 资源可见范围 | 能看到哪些主机、虚拟机、数据库、文件资源 |
| 操作范围 | 在可见的资源上能执行哪些动作（备份 / 恢复 / 删除 / 配置） |
| 组织 / 部门范围 | 按组织树或部门隔离，用户只管本部门的对象 |
| 记录可见范围 | 历史任务、日志、报表的可见与导出范围 |
| 多租户隔离 | 服务商场景下的租户级隔离 |
配置口径：先划定资源范围，再授予操作权限；同一个人跨部门兼岗时用独立账户，不要放大单个账户的范围；资源范围变更后要复核该账号的历史导出记录与自动化脚本权限；人员岗位调整时数据范围要同步收敛。
用户表单里有归属部门字段，列表里也有组织树，但这两个字段是只用于组织展示，还是真的参与资源可见范围的裁剪，需要实测确认后才能写进运维制度。
三权分立
治理上建议把系统管理、日常操作、审计复核三类职责分开：管理人员负责授权和配置，操作人员在授权范围内执行备份与恢复，审计人员复核记录和高风险变更。
如果产品原生角色无法实现完整的职责分离，应采用审批与双人复核作为补充控制。不能因为做了补偿控制，就在验收材料里写「系统已实现三权分立」。
密码、锁定与会话
密码复杂度、有效期、失败锁定与解锁、空闲超时、并发会话范围这五项，都要按组织的安全基线明确，不要直接套用其他系统的次数、期限和默认值。
修改这些策略之前：
- 评估对服务账号和值班操作的影响（值班账号被锁定会直接影响故障响应）。
- 在隔离的测试账号上验证三件事：正常登录能通过、异常登录被拒绝、两者都有审计记录。
- 验证通过后再对全量账号实施。
首次登录改密
初始密码只用于首次登录，登录后应立即修改，避免初始口令长期有效。
| 步骤 | 操作 | 要点 |
|---|---|---|
| 1 | 管理员创建账户或重置密码后，通过安全渠道把初始密码交给本人 | 不得明文留存在文档、邮件正文或聊天记录中 |
| 2 | 用户用初始密码首次登录 | 记录首次登录时间与来源地址 |
| 3 | 按提示修改密码，输入原密码与两次新密码 | 新密码须满足复杂度与长度要求 |
| 4 | 用新密码重新登录，确认旧密码已失效 | 用旧密码登录应被拒绝 |
| 5 | 管理员核对操作日志中的改密记录 | 保留证据用于审计 |
停用之后，已登录的会话会怎样
这是一个必须实测的行为。源文档给出三种可能的实现，安全强度和运维影响差别很大：
- 停用后服务端立即注销该用户的全部会话，下一次请求即被拒绝。
- 只阻止新登录，已建立的会话保留到空闲超时或绝对超时到期。
- 已建立的会话保留到下一次权限校验周期。
在实测确认之前，不能把这条假设写进运维制度。人员离岗、转岗或凭证疑似泄露时，必须同时做四件事：停用账户、更换服务器凭证、撤销自动化调用凭证、复核在线会话。
验证方法：
- 用测试账号 A 登录并保持会话，同时在另一台终端记录会话状态。
- 由系统管理员停用账号 A，记录停用时间。
- 立刻在 A 的会话里刷新页面并执行一次只读操作（例如查看历史任务），记录是否被拒绝或跳转登录页。
- 用 A 尝试重新登录，确认被拒绝，并查看失败提示。
- 检查操作日志与登录日志，确认停用动作、会话失效与失败登录都有记录。
- 若会话没有立即失效，记录实际失效延迟，并在运维制度里用补偿控制覆盖这段时间差。
- 重新启用 A，复核权限与停用前一致（不得被放大），然后恢复测试环境。
| 验证项 | 判定标准 |
|---|---|
| 停用瞬间的会话状态 | 记录停用后第一次刷新或请求的结果与时间差 |
| 已有的 API / 自动化会话 | 停用后调用应被拒绝，且失败可审计 |
| 新登录 | 必须拒绝，并记录失败原因 |
| 重新启用 | 可正常登录，权限与审批后的角色一致 |
双因素与统一身份认证
这两项都属于「需要先确认产品是否支持，再谈怎么配」的范畴。
双因素认证
常见的实现方式与各自的注意点：
| 方式 | 适用场景 | 注意事项 |
|---|---|---|
| TOTP 动态口令 | 管理员与运维人员日常登录 | 需处理时间漂移与绑定丢失后的恢复流程 |
| 短信 / 邮件验证码 | 没有认证器应用的用户 | 依赖短信网关与邮箱可达性，强度弱于 TOTP |
| 硬件令牌 / USB Key | 高安全等级环境、核心管理员 | 需管理令牌的发放、挂失与备件 |
| 数字证书 / 客户端证书 | 已有企业 PKI 的环境 | 需规划证书签发、吊销与轮换 |
实施顺序建议先对系统管理员与审计员强制启用，再逐步覆盖其他运维账号。必须提供应急恢复路径（备用码、管理员解绑或线下审批解绑），否则认证器丢失会导致无法登录。启用后要重新验证失败锁定、会话超时与审计留痕仍然生效。双因素不能替代最小权限和职责分离。
统一身份认证
把账号生命周期交给企业目录或身份平台管理之后，需要满足几个硬条件：
- 目录侧停用账号后，本系统必须也登不进来。同步方式（实时校验还是定时同步）与生效延迟要确认清楚。
- 必须保留至少一个本地应急管理员账号并妥善保管，否则目录不可用时会完全无法登录。
- 按目录属性映射角色时要限定映射规则，禁止用通配规则把所有域用户映射成管理员。
- AD 域用户通常不支持通过邮件找回密码，交付时要向用户说明。
- 对接前核对目录服务的端口与证书，并在防火墙上放行，见附录 B。
账号生命周期
全流程
| 阶段 | 要做什么 |
|---|---|
| 申请 | 写明使用者、职责、需要的资源范围和有效期 |
| 审批 | 按职责审批，审批人与执行人分开 |
| 创建 | 以最小权限创建，记录工单号 |
| 授权 | 先划资源范围，再给操作权限 |
| 复核 | 定期复核闲置账号与过度权限 |
| 变更 | 角色调整时复核现有授权，不做加法式累积 |
| 停用 | 离岗或到期及时停用，并检查在用会话、自动化调用与共享凭证 |
| 删除 | 保留审计关联并完成交接后再删除 |
服务账号与个人账号要分开，禁止多人共享同一个可追责的运维身份。每个账号都要指定责任人。
服务器凭证轮换
- 清点引用该凭证的资源和作业，指定责任人与窗口。
- 先小范围更新，验证资源连接、备份与恢复访问都正常。
- 逐批推广到其余资源。
- 确认新凭证全面生效后，再撤销旧凭证。
- 保存操作审计记录，但不记录密码本身。
- 失败时执行经批准的回退方案。
审计留存
账号创建、授权变更、停用、删除与登录行为都应关联工单号和操作者。日志按组织的留存制度保存，导出文件要限制访问范围。外发到 SIEM 之前，核对字段、时间同步、传输安全、失败重试与脱敏要求，详见第 19 章。
常见问题
账号状态是「正常」，为什么用户还是看不到某些主机？ 状态只说明账号没被停用。能看到哪些资源由数据范围决定，和角色是两个维度。先核对该账号的资源可见范围，再看角色权限。
人已经离职了，停用账号就够了吗？ 不够。要同时做四件事：停用账户、更换他接触过的服务器凭证、撤销自动化调用凭证、复核在线会话。在会话失效行为实测确认之前，不要假设停用就等于立即下线。
应该删除账号还是停用账号？ 优先停用。删除会影响历史作业与审计记录的关联，确需删除时先保留审计关联并完成交接。
控制台用户密码和服务器凭证是同一套吗？ 不是。控制台用户用于人员登录，服务器凭证用于平台访问被管理服务器。两者的重置流程和审批要求都不一样。
接了域认证之后，本地管理员账号还要留吗？ 要留，而且至少留一个并妥善保管。目录服务一旦不可用，没有本地账号就完全无法登录管理平台。