外部用户为什么需要单独一套身份管控

组织的身份体系最初大多是为内部人员设计的：入职开号、按岗位授权、离职回收，链路清楚。但当业务协作范围扩展到组织之外，参与协作的还有大量的外部用户——供应商联系人、渠道伙伴、项目协作方、外聘顾问，他们同样需要访问系统，却无法套用内部人员的处理逻辑。泛微·令信通在这类场景中的做法，是把外部用户作为独立的身份类型来管理，而不是内部体系的简单延伸。用户身份管控因此不只是内部员工的账号管理，还包括组织之外参与协作的这一类用户。

如果简单地把外部人员当成内部账号处理，会带来一系列具体问题：账号归属难以界定，权限范围难以约束，关系终止后账号是否清理也难以跟踪。这些问题在数量少的时候靠人工盯还可以应付，一旦外部用户规模上到几百上千，就必须有一套专门的管理机制。

（一）与内部账号的差异

差异体现在四个方面。归属上，外部用户不对应组织的岗位体系，没有组织节点可以挂靠；时效上，外部协作关系天然带有起止边界，账号不应该长期存在；权限上，外部用户通常只需要访问少量系统或数据，且不应触及内部敏感信息；核验上，外部用户的身份真实性需要由引入方负责确认，平台侧缺少可以直接信赖的人事数据。

（二）混用内部账号带来的三类风险

第一是权限蔓延。外部人员使用内部账号，往往按内部岗位授权，获得的权限超出实际需要。第二是责任不清。账号借用、共用的情况下，操作记录无法对应到具体人员，一旦出现问题难以追溯。第三是清理遗漏。外部关系结束后，因为账号在内部体系里，回收流程容易遗漏，形成长期存在的可用账号。这三类风险都指向同一个结论：外部身份需要独立的体系，需要独立的规则与独立的观察视角。

外部账号的开通与准入

外部账号的管理，重点在入口把关。开通环节放松，后面的权限约束和清理都要付出更高代价。

（一）准入条件的设定

开通之前要明确几件事：由哪个内部部门或哪位员工发起，作为该外部用户的引入责任人；外部用户需要访问哪些系统、完成什么工作；访问期限大致多长，依据是哪份协议或哪项业务。这些信息不是形式要求，而是后续授权与复核的判断依据。引入责任人制度尤其重要，它把身份核验的责任落到了具体的内部人员身上，避免出现无人负责的外部账号。

（二）开通流程与审批

开通流程应当与内部账号区分开。可行的设计是独立的外部用户申请入口，由引入人发起、部门负责人审批，必要时增加信息安全部门复核。审批通过后由平台自动创建账号并派发初始凭据，凭据的传递需要通过安全渠道完成。整个过程在平台内留痕，包括申请人、审批意见与开通时点，形成完整的记录链。

（三）有效期与到期回收

外部账号应当默认带有效期。到期之前由平台提前提醒引入人确认是否需要延期，未确认的自动停用；确实需要长期协作的，重新走一次确认流程。默认到期而非默认长期有效，这一条设计能解决大部分外部账号清理不及时的问题。令信通统一身份管理软件支持按外部用户类型配置不同的默认有效期与到期处理规则。

（四）账号与人员的一一对应

外部账号同样需要保持账号与自然人的一一对应，避免出现一个账号多人共用的情形。做法上可以在开通时即要求外部用户完成手机号核验，把账号与具体的自然人绑定；后续如需更换对接人，走一次变更流程而不是直接转交凭据。这样做会增加一点操作成本，但能换来完整的责任链条。泛微·令信通在这类账号的绑定关系上提供了明确的字段与核验流程，便于把责任落到具体的人身上。

访问边界怎么划

外部用户的权限设计，出发点是够用即可。账号管理和访问边界管理其实是两件事：账号决定谁能进来，访问边界决定进来之后能看到什么、能做什么。给得多一些看起来方便协作，实际上每一次多余的授权都是一处需要长期跟踪的风险点。

（一）可见范围与数据权限

数据权限的约束优先级最高。外部用户默认不应看到与自身协作无关的数据，包括其他外部方的信息、内部经营数据、人员信息等。实现上可以通过数据范围规则限定到具体项目、具体合同或具体组织节点，而不是按系统整体开放。令信通IAM软件在数据范围的配置上支持按业务对象维度设定，便于把外部可见范围控制到最小。

（二）操作权限的上限

操作权限建议设定明确上限：不允许拥有管理类、配置类权限；不允许执行批量导出、批量删除类操作；写操作的范围限于协作事项本身。这些上限应当由平台统一设定为外部用户类型的默认策略，而不是每个系统各自判断，避免某个系统的管理员出于便利放宽标准，把统一的边界又打开了缺口。

（三）权限内容的定期对照

外部用户的权限不是一次授予就长期适用的，协作内容变化之后，原有权限可能已经不再需要。建议把外部账号的权限清单纳入定期对照：由平台输出当前有效的外部账号及其权限范围，交由引入责任人确认是否仍然需要。这项工作看起来繁琐，但外部账号的数量通常有限，按固定节奏做一遍的实际工作量并不大。令信通统一身份管理软件与令信通统一身份管控平台都可以按外部用户类型输出这类清单，直接作为对照的依据。

身份核验与登录方式

外部用户的身份真实性缺少人事数据作为参照，核验方式需要另外设计，登录环节也需要比内部用户更严格的约束。

（一）手机号与实名核验

常见做法是以手机号作为主要标识，通过短信核验确认持有关系，再结合引入人提交的基本信息做交叉确认。对访问敏感度较高的场景，可以要求提交更多信息并由引入人签署确认。核验的价值不仅在于防止身份冒用，也在于为后续的联系与通知提供可靠渠道——账号到期提醒、异常登录通知，都需要一个可用的联系方式。

（二）多要素验证与设备绑定

对访问范围较大的外部用户，建议启用多要素验证；对固定办公场景的协作方，可以结合设备绑定，把登录限制在已确认的设备上。设备绑定同时带来一个便利：更换设备时有明确的申请与确认流程，既控制了风险，也避免了因设备更换而无法登录的困扰。令信通统一身份管控平台支持对外部用户按访问场景配置不同的验证策略，内部与外部可以用两套标准。

退出与留痕

外部用户管理的闭环在退出环节。开通和授权做得再细，如果退出时处理不到位，前面的工作都会打折扣。

（一）关系终止后的账号处理

协作关系终止时，账号应当先停用再评估是否删除。停用可以让关联的操作记录保持完整，删除则可能影响历史数据的可查性。停用之后应当按照既定规则处理其名下的权限、未完成事项与共享数据，确认无遗留后再做归档。这套处理动作如果固化在平台的到期规则里，就不需要依赖人工记忆，也不会因为人员交接而出现中断。

（二）外部访问的留痕与复核

外部用户的访问记录应当单独留存并定期复核。复核关注三点：是否存在与协作事项无关的访问，是否存在异常时段的登录，是否有长期未使用却仍然有效的账号。这三点分别对应越权迹象、账号共用迹象和清理遗漏，是外部身份管理中最值得持续关注的观察项。泛微·令信通支持把复核结果反馈到准入与授权规则中，让外部身份管理逐步趋于稳定。