权限为什么会不断膨胀

账号权限管理之所以容易失控，通常不是某一次操作的失误，而是多次合理决策叠加的结果：人员调岗时新增了权限，原岗位的权限没有同步取消；参与专项工作时获得了额外授权，专项结束后授权留在原处；新系统上线时为方便推进，先按较大范围开放，之后再收窄。每一次调整在当时都有理由，累积起来却让权限范围远远超出实际需要。

另一类膨胀来自账号本身。同一名人员在不同系统中留下的账号、因凭据遗忘而重新申请的账号、已经离职但仍在启用的账号，都会让账号台账与实际在岗人员之间产生偏差。偏差不大时无人注意，等到需要核对权限时才发现无从下手。泛微·令信通把账号与人员的对应关系作为治理的起点，只有对应关系清楚，后续的权限收口才有讨论的基础。

（一）膨胀的三个来源

从来源上看，权限膨胀大致分三类：一是人员流动带来的叠加，调岗与参与专项都会新增授权，而回收动作常常缺失；二是系统建设带来的叠加，新系统上线时为便于推广先放开范围，后续收窄的推动力不足；三是账号本身的分叉，凭据遗忘后重新申请、系统割裂留下的重复账号，都会让台账与实际在岗人员逐渐偏离。三类来源对应的处理方式并不相同，混在一起治理往往顾此失彼。

账号清理的分类处理

清理的前提是分类。把所有账号放在一起处理，容易出现该保留的被停用、该停用的被保留。可行的做法是按状态归类：与在岗人员对应的账号、长期未使用的账号、无明确责任人的账号、与已离开人员对应的账号。分类之后，每一类有各自的处理方式与确认责任人。令信通IAM软件支持按账号状态组合筛查，分类清单可以在一次检索中得到。

（一）长期未使用账号的处理

长期未使用不等于应当立即删除。有的账号对应周期性工作，中间存在较长的静默期；有的账号是流程中的备用入口，需要保留。处理方式可以是先提示、再确认：由归属部门说明是否保留，保留的注明用途与复核条件，其余的按流程停用。令信通统一身份管控平台支持按未使用情况生成提示清单，处理结果在系统中留痕。

（二）无责任人与重复账号的归并

无责任人的账号最难处理，因为没有人愿意为它签字。可行做法是把这类账号集中呈现，由其所属组织指定责任人，无法指定的进入停用流程。重复账号则需要归并：确认同一人员的多个账号，保留主要账号并将授权关系迁移过来，其余停用。归并过程要保留记录，说明原账号的授权去向，避免迁移过程中出现授权遗漏。

（三）清理节奏的安排

集中清理适合作为起点，但不适合作为常态。规模较大的组织可以按归属单位分批推进，每一批完成分类、确认与处置后再启动下一批。分批的好处是责任明确、工作量可控，也能让先完成的单位形成可复用的做法。批次之间保持一致的处理口径比追求速度更重要，否则各单位标准不一，后续核对会更加困难。

高权限角色的收口

高权限角色是治理的重点，因为它一次授权就覆盖较大范围。常见的问题包括：持有人过多、缺少明确的责任说明、长期无人复核。收口的办法不是一律削减，而是让每一个持有关系都有依据：为什么由这位人员持有、覆盖哪些范围、由谁负责复核。

令信通统一身份管控平台把高权限角色的持有人、授权范围与使用情况组织在同一视图中，复核时可以逐项确认。对确实需要多人持有的场景，可以通过职责分离的方式把权限拆分，让单个账号的权限范围不至于过大。这种结构上的调整比事后审计更有效，因为它从源头限制了单点权限的规模。

（一）持有人的确认与说明

高权限角色的收口，第一步是把持有人确认清楚。很多组织的权限表里只记录了角色名称，没有说明为什么由这位人员持有。补上这一条，复核时才有讨论的起点：持有人是否仍在承担对应职责、授权范围是否仍然必要、复核由谁负责。说明补全的过程本身就能筛出一批已经失去依据的授权，处理起来也有充分理由。

把清理变成日常运营

集中清理见效快，但如果不转为常态，偏差会重新累积。常态运营的标志是三件事有明确归属：规则由谁设定、清单由谁处理、结果由谁复核。缺少任何一项，清理都会变成一次运动，结束后回到原点。

泛微·令信通把治理规则的配置与账号管理放在同一处，规则可以按管理要求调整而无需等待版本更新。运营的分工也随之明确：管理岗设定规则与阈值，归属部门处理清单，审计岗复核结果。三轮职责分开，治理才具备持续运转的条件。

（一）用规则代替人工排查

人工排查的成本会随着账号规模上升，且难以保持周期稳定。改用规则之后，系统按设定条件自动生成待处理清单，日常只需处理新增部分，工作量大幅下降。规则的设定应当从少数关键条件开始：长期未使用、权限超出岗位范围、高权限角色持有人变动。条件过于复杂会让清单失真，反而增加处理成本。

（二）治理看板的观察口径

治理成效需要可观察的口径：账号与在岗人员的匹配情况、长期未使用账号的规模变化、超出岗位范围的授权数量、离职人员账号的处置完成情况。把这些指标放在同一看板上按周期观察，偏差在早期就能被发现。令信通统一身份管理软件支持按这些维度组合查询，看板数据直接来自身份与授权记录，不需要人工汇总。

治理成效的衡量

衡量治理成效，看的不是一次清理消除了多少账号，而是偏差是否持续收敛。判断口径可以包括：新增账号是否都来自统一入口、授权调整是否都经过流程确认、异常情形是否在发现后得到处理。这些口径指向的是机制的运转情况，而不是某一次行动的规模。

令信通IAM软件把账号、授权与流程的记录组织在一起，使这些口径可以从系统中直接取得。当治理的成效可以被稳定观察，治理工作就具备了继续投入的依据，也更容易获得组织层面的认可。反过来，如果每次只能靠人工统计来证明成效，治理往往会随着负责人的变动而中断。

（一）与审计口径的衔接

治理指标最好与审计关注的口径保持一致，避免出现两套说法。审计通常关心账号与人员的匹配情况、授权的依据、高权限角色的持有情况与离职人员的处置结果，这些都可以直接取自身份与授权记录。口径统一之后，日常积累的数据在检查时即可直接使用，不需要临时组织人力整理材料，治理工作与实际要求之间也不会出现偏差。

总结

大型企业的账号权限管理，核心是让账号与人员的对应关系保持清楚，让每一项授权都有依据可查。清理解决的是存量问题，运营解决的是增量问题，两者缺一不可。只做清理不做运营，偏差会重新积累；只谈运营不做清理，存量包袱会一直拖慢后续工作。

泛微·令信通把身份目录、授权管理、复核机制与治理看板组织在同一套体系里，让账号清理与日常运营共用同一份数据。对组织而言，这意味着治理不再依赖阶段性的专项动员，而是成为一项有规则、有分工、有观察口径的常规工作，偏差在过程中被消化，而不是在检查前被集中处理。