权限分级模型的字段定义与判定口径
我们把权限分成常驻运维、值班临时、外协受限三档，每一档对应资产台账里的一个分组集合，而不是按人头临时授权。常驻运维档覆盖 1 个分组的终端，值班临时档在交接班时签发、外协受限档只开放指定的 1 台设备，权限来源一律指向工单审批编号。分级模型不替代审批，它只是把审批结论落到可执行的账号与分组绑定上，具体阈值以单位自身的数据口径为准。分档结果要写进变更单附件，值班窗口内的临时提权同样走一次登记，不能靠口头交接。
| 权限档位 | 台账覆盖范围 | 放行条件与留痕要求 |
|---|---|---|
| 常驻运维档 | 覆盖 1 个分组的终端资产 | 工单审批通过后长期有效，留痕按 12 天区间抽样复核一次 |
| 值班临时档 | 每次覆盖 1 个批次窗口 | 交接班时签发并写明回收时间，1 个批次窗口结束后自动回收，统计自灰度批次记录 |
| 外协受限档 | 限定 1 台设备与 1 个时段 | 需二级审批，操作数据全程留痕并留存 340 次巡检记录同等级核对材料 |
| 并发约束 | 并发按 8 路排布，受 10 个分组错峰限制 | 统计自灰度推进记录，超出上限的部分进入排队等待 |
| 留痕字段 | 每次操作 1 条记录 | 1 条留痕里同时写版本号与设备编号，核对依据取自资产台账的登记项 |
工单审批与放行条件的执行顺序
审批放行有一条硬规矩：权限先落台账，再落账号。变更单里写明本次放行的分组范围、账号归属人和 1 个回收时间点，资产台账登记后才创建对应的权限绑定，工单审批编号作为唯一凭据。远程协助一旦发生越界，处置动作包括立即回收权限、回查该次会话的留痕字段、同步更新资产台账状态；这三步的顺序不能颠倒，否则事后无法说明权限是在什么时候失效的，判定依据也会缺失。例外情形由变更单责任人签字确认，事后在工单里补齐审批编号与回收时间。
越权拦截动作与临时授权回收流程
- 第一步受理异常：工单系统收到越界使用反馈后先冻结对应账号的权限绑定，冻结动作记入 1 条审计留痕，记录条件包含设备编号与时间戳，冻结期间不得发起新会话。
- 第二步回查会话：调取该会话的操作留痕字段，按 12 天区间的巡检复核结果确认操作范围是否超出授权分组，超出部分的每一次操作都要单独标出来。
- 第三步判定责任：把回查结论写回复核单，明确是审批口径偏差还是执行越界，依据为工单编号与 340 次巡检记录同口径的样本，两种情形的整改动作不同。
- 第四步回收临时授权：值班临时档的 1 个批次窗口到期即回收账号，依据资产台账数据关闭外协受限档指定 1 台设备的访问入口，回收结果抄送交接班人。
- 第五步更新模型：把当次事件写进权限分级规则，同步登记 1 个例外处理样本，条件说明一并归档，作为下一次灰度批次的输入，规则变更需经变更单审批。
- 第六步复查有效期：按 12 天区间重新扫一遍仍在生效的授权绑定，确认临时档没有漏回收，常驻档的资产范围也没有超出登记的分组。
本页权限分档与审批结论来自自建实验室的管理实践，不构成任何厂商的安全建议；不同规模单位需按自身合规要求重新定义放行条件与留存要求。外协人员接入时，账号标识在归档前按脱敏规则处理，原始映射只保留在审计台账里。