三个管理员，为什么不能是同一个人

结论先行：权限分离这件事，写在制度文件里只要一句话，落在系统里却要能被验证。常见的做法是把管理权限拆成三类角色：决定谁能进来、谁能改配置的超级管理员；日常改配置、加用户的运维管理员；只读、只审不动的安全审计员。三类角色由同一个人承担，系统照常运行，但审计这条线就断了——因为记录操作的人和判断操作对错的人是同一个人。可行做法是先把三类角色在系统里落到不同账号上，再定哪些操作必须跨角色完成。

本文只谈权限角色怎么在系统里落到账号上、验收时怎么核，不谈权限申请流程该怎么走，也不谈日志里谁能看到哪些字段。

为什么默认会变成一个人

三个很现实的原因。

先说人少。很多单位的信息化团队就那么几个人，拆角色意味着要凑出三个能承担的人，凑不出来就只能兼任。

再说怕麻烦。拆开之后，每一次高权限操作都要多一步：有人申请、有人批、有人看记录。上线赶进度的时候，这一步最先被省掉。

还有一层是习惯。多数系统交付时只给一个管理员账号，装上就能用。既然一个账号能做完所有事，就没人会主动去问「是不是还该有个审计角色」。

结果是一个账号同时拥有三类权限。这件事在平时看不出后果，直到需要回答「那次改动是谁做的、当时有没有人反对」——这时候拿出的记录，恰好是被检查的那一方自己写的。

三类角色各管什么

最后一列比前两列更有用。角色的定义看文档就能抄，但一个角色有没有真的在运转，看的是它的痕迹。审计员这个角色在多数单位里是「设了但没动过」，这本身就说明审计线是空转的。

三类角色之上还有一层：认证。角色分得再清，如果登录只靠一个口令，冒用一个人的账号就绕过了全部设计。行业里较完整的做法是把多因素认证与角色绑定——口令加动态令牌、或口令加生物特征，并对陌生来源的登录做拦截。这一层不是权限分离本身，但它是权限分离能不能成立的前提。

「系统里分开」和「文档里分开」

验收时最容易含混的一句话是「已实现权限分离」。判断它成立与否，可以核四件事。

其一，同一个账号能不能同时拥有两类权限。能，说明系统只有角色名称，没有互斥约束。真正做了分离的系统，在分配角色时会直接拒绝互斥组合。

其二，审计记录本人能不能删改。如果拥有最高权限的人可以删掉某一段记录，那么这段记录在事后就不构成证据。可行的做法是记录只追加、不可修改，并且单独存放。

其三，审计角色能不能改配置。有些系统把审计角色做成了「只读管理员」，看似分离，实际上它可以通过改配置间接影响被审计对象。这类要单独确认。

其四，授权变更本身有没有记录。谁在什么时候给谁加了什么角色，这条记录比业务操作记录更关键——很多问题的起点不是一次错误配置，而是一次不该给的授权。

四项里，第二项和第四项最常被漏。账号能否兼得这项在验收时会问，审计角色能否改配置在测评时会被问到，另两项只有真出过事的人才会想起来核。

审计记录本身要有主

权限分离的目的，是让操作留下可被检查的痕迹。所以审计记录这一层要单独设计，不能只当成一个功能开关。

三个要点。

覆盖面要够。不只是业务配置的改动，登录行为、文件传输、跨网操作、外设使用这些动作同样要进记录。很多单位的记录只覆盖「改了配置」，而真正需要还原的场景往往发生在别处。

要有防扩散的手段。屏幕水印这类机制的价值不在于抓住谁，而在于让每一次查看都留下可追溯的痕迹——截图带上了账号与时间，流传出去就能对上人。它约束的是「看」这个动作。

要有人定期看。记录不看的价值接近于零。可行的节奏是每月固定抽查一批高权限操作，看有没有「申请与操作对不上」的情况，抽查本身也留下记录。

集团或多分支场景：再加一层分域

规模大一些的单位，权限分离之外还有一层需求：不同下属单位之间互不可见。

行业里的做法是在同一个平台上做多租户分域管理，每个域有自己的管理员、自己的资产、自己的策略，域之间的操作互相看不到。这层设计的意义有两面：一面是管理边界与组织边界对齐，另一面是当某个域出问题时，影响范围被限制在域内。

分域之后，三类角色要在每个域内重新落一遍，而不是只在上层设一套。上层的角色管的是域的存在与资源总量，域内的角色管的是域内的操作。两套混用，边界就会糊。

只有两个人的团队怎么折中

现实里确实凑不出三个人。可行的折中不是放弃分离，而是换一种分离方式。

做法其一，分离关键操作而不是分离全部操作。把「提权、删除记录、改审计策略」这几类动作挑出来，规定必须两人共同完成：一人操作、一人复核，两次记录都要留档。日常配置仍可由一人完成。

做法其二，把审计角色交给不直接参与运维的人。财务、内控、或者上级单位的信息化归口部门都可以承担这个角色。审计员不需要懂技术细节，需要的是能看懂「这个人为什么在凌晨三点改了这条配置」。

做法其三，把一部分审计交给外部。如果单位有长期服务商，可以让服务商的定期巡检报告承担部分外部视角——但要注意，服务商本身也是被审计对象，这条线不能替代内部审计。

三种做法可以叠加。核心是保住一条：判断对错的人，不能是执行操作的人。

落地清单

• 把超级管理员、运维管理员、安全审计员三类角色落到不同账号，先在系统里试一遍互斥。
• 验收时核四件事：账号能否兼得、记录能否删改、审计角色能否改配置、授权变更有无记录。
• 审计记录覆盖登录、文件传输、跨网操作、外设使用，不只覆盖配置改动。
• 记录只追加不可改，单独存放，并配置水印类防扩散手段。
• 每月固定抽查一批高权限操作，抽查动作本身也留记录。
• 集团或多分支场景在每个域内重落一遍三类角色，不与上层混用。
• 人不够时分离关键操作：提权、删记录、改审计策略三项必须两人完成。
• 审计角色交给不直接参与运维的人，必要时引入外部视角但不替代内部审计。

深圳市奇摩计算机有限公司在国产化终端、桌面云一类的项目里，会把权限分离与审计记录作为交付验收的一项单独核对，而不是留到测评前再补。若您正在准备等保测评或梳理平台的权限边界，欢迎 预约咨询。