企业终端用户权限配置须坚持最小权限原则，即“刚好够用”，按岗位职责设权、默认拒绝、显式授权、定期清理、限制特权，并通过流程与习惯保障落地。
企业终端用户权限配置，核心就是落实最小权限原则——不是“够用就行”，而是“刚好够用”。多一分权限，就多一分风险；少一次授权，就少一次隐患。
明确角色与职责边界
权限不能按人设，得按事设。先梳理每个岗位每天真实要做的操作：谁需要装软件、谁只需打开Excel、谁要访问客户数据库但不能导出。销售专员查客户信息是刚需，批量导出却是高危动作；HR可以录入考勤，但不该有删系统日志的权限。
- 画出典型工作流，标出每一步涉及的系统、数据和操作类型
- 把相近职责合并为角色，比如“一线客服”“区域主管”“财务复核员”，避免一人一角色
- 拒绝“管理员助理”这类模糊头衔——助理该看什么、能改什么，必须逐项列清楚
默认拒绝，显式授权
新账号开通时，权限应为空。不是“先给基础权限再减”，而是从零开始，只加真正需要的那几项。系统配置里出现 actions: [] 不是疏忽，是设计意图——明确表示“这个资源，你什么都不能做”。
- 所有权限策略以“禁止”为起点，仅对确认必要项开放
- 禁用全局通配符（如 /api/*），改用精确路径（如 /api/orders/list）
- 敏感操作如删除、导出、权限变更，必须单独审批并二次确认
定期清理与动态校准
权限不是一次配置终身有效。员工转岗、项目结束、系统升级后，旧权限容易变成“幽灵权限”。建议每季度做一次权限健康检查，不是走形式，而是对照当前岗位说明书逐条验证。
- 自动标记超90天未使用的权限项，列入待复核清单
- 离职或调岗流程中，权限回收必须作为强制节点，与HR系统联动触发
- 引入权限使用日志分析，识别“有权限但从未用”的账户，及时收权
限制特权账户的落地场景
普通用户账号不该带管理员标签。日常办公用标准账户，只有在执行特定任务（如安装认证软件、连接新打印机）时，才通过受控方式临时提权，并限时失效。
- 禁用域管理员账号用于日常登录，统一用受限账号+特权代理工具
- 对本地管理员组成员进行登记和理由备案，每年重新审批
- 终端设备上禁用内置Administrator账户，或重命名+强密码+禁用远程登录
不复杂但容易忽略——最小权限不是技术难题，是管理习惯。关键不在设得多严，而在是否坚持“每次授权都问一句：这个真需要吗？”
