员工离职后的权限回收清单

员工离职，工牌和电脑收回去了，服务器上的权限常常还留着。权限回收要按清单逐项过，靠记忆必有遗漏。 服务器账号 当天删除或禁用其 Linux 账号，sudo 组成员资格一并移除： ``` userdel -r zhang gpasswd -d zhang wheel ``` ~/.ssh/authorized_keys 里逐行核对，离职员工的公钥直接删行。删号前确认名下没有独占的定时任务：crontab -l -u zhang 看一眼，有则先交接再删。测试机上的账号同样要删，很多人只有测试环境权限，但里面的数据一样敏感。 控制台与面板 云服务商控制台的子账号停用或删除；API 密钥（AccessKey）吊销并重建——这步最容易被漏，密钥不会随登录停用而失效。服务器面板、堡垒机、监控平台的账号同步处理，第三方授权与消息订阅也检查一遍，避免通知仍发到离职邮箱。帮同事代跑过的工单、分享过的临时链接，一并作废。 数据库与内部系统 数据库账号逐个删除： ``` DROP USER 'zhang'@'%'; ``` 只读账号也要删：业务数据被整库导走的案例，不少就出在离职员工留下的只读账号上。代码仓库、文档平台、内部后台按各自流程禁用。曾经共享给他的数据库连接串，密码一并更换。 域名与证书 备案负责人是他名字的，顺手把负责人信息变更掉，省得日后联系不上。域名注册账户、DNS 管理平台的权限收回；由他经手申请的 SSL 证书，把续期邮箱换成在职人员；私钥若曾由个人保管，重新签发一套更稳妥。 复查与轮换 离职当天执行清单并留痕，一周后复查：登录日志里没有他的账号，API 调用记录里没有他的密钥。一个月后再抽查一次：有没有旧密钥发起的连接尝试，有就说明漏了东西。离职周期内，把共享密码（数据库、面板、办公 Wi-Fi）统一轮换一次。 权限回收的本质，是把"个人知道的"变成"系统管理的"。账号、密钥、共享密码三类清干净，离职就不留暗门。