员工离职后，旧账号还能进内网多久？零信任要盯的4个回收点（2026）

去年帮一个客户做权限审计，翻出三个已经离职的账号。其中一个人的登录记录停在上个月，而他离职已经快一年。管理员很肯定：「当天就停用了。」再一查，停的是 OA 账号；远程接入用的是另一套账号，没人动过。

这不是粗心，是多数公司的账号本来就不止一套。邮箱、OA、企业微信、ERP、文件共享、远程接入，各自建各自的。离职时只记得关最常用的那个，剩下的就留在那里。

零信任解决的是「谁能访问什么」，但前提是回收动作要真的落到每一个入口。下面四个回收点，建议照着核一遍。

一、为什么「停用账号」经常只停了一半

先看一张常见的账号分布。很多公司以为自己只有一个身份源，实际数下来有五六处。

停用主账号只是第一步。真正决定「还能不能进」的，是下面四件事有没有一起做。

二、四个回收点，一个都不能少

1. 身份：主账号和它派生出来的账号

主账号停用后，检查它绑定或创建过什么：邮箱别名、OA 子账号、业务系统里的同名账号、第三方应用的授权。很多系统支持「用企业微信扫码登录」，人走了企业微信还在，入口就还在。

服务账号和 API 密钥单独列一张表，写清楚用途和负责人。没人认领的，直接停。

2. 设备：登记过的不只是公司的电脑

零信任通常要求设备登记后才能接入。离职时公司电脑收回、解除登记，这一步多数人会做。容易漏的是：员工用自己的手机、家里的笔记本装过客户端，这些设备仍然在册。

回收时按人查设备，不按设备查人。看到名下还有私人设备，一并解除，并确认对方下次连接会被拒绝。

3. 会话：已经连上的，不会因为改密码就断

这是最反直觉的一点。账号停用、密码改掉，已经建立的隧道和刷新令牌可能仍然有效，直到过期。有的客户端还会在本地缓存配置，断网时继续按缓存工作。

所以回收动作里要包含「主动断开现有会话」和「吊销长期令牌/客户端证书」。做完之后，用旧设备实际连一次，看是不是真的被挡住。

4. 资源：网段、目录、角色和堡垒机

身份没了，资源侧的授权也要清。常见的有：能访问的网段、共享目录的组、ERP 里的岗位角色、堡垒机上的主机授权、数据库的只读账号。

这一块最好由资源归属部门确认，IT 只负责执行。比如财务系统的角色，财务负责人签字说清空了，才算完成。

三、一张离职回收时间线

时间线不用复杂，关键是每一步都有人签字。只靠 IT 一个岗位记，迟早会漏。

四、怎么验证回收真的生效

别只看管理后台显示「已停用」。找一台不在用的电脑，做四个测试：

1. 旧设备登录：用离职人员登记过的设备连一次，应当被拒绝。
2. 旧密码登录：用原账号密码走一遍，不能出现「密码错误但仍在验证」的模糊状态。
3. 断网重连：客户端断开网络再恢复，确认不会靠本地缓存自动接回去。
4. 越权访问：如果还能登录测试账号，直接访问未授权网段，确认到不了。

这个方法和我们给客户做的远程接入验收清单是同一套逻辑，换任何零信任产品都适用。

五、审计日志要能回答三个问题

出了事再查日志，最怕只看到一条「登录成功」。一份能用的访问记录，至少要能回答：

• 是谁——具体到人，不是共享账号；
• 从哪台设备、什么时间——设备标识和时间要对得上；
• 访问了什么——目标系统、网段或资源，不是只记一个「已连接」。

三条凑齐，才谈得上追溯。少一条，日志就只是流量统计。

六、零信任管不到的地方

说清楚边界，免得买完失望。

• 业务系统内部的角色和审批流，仍由那套系统自己管。零信任负责「能不能进这个系统」，不负责「进去以后能看哪张单」。
• 纸质文件、拍照、口头交代，技术手段管不了，要靠制度和保密协议。
• 员工把有权限的数据正常导出，这是业务行为，不是接入控制能拦的。要拦得靠数据防泄漏那套东西。

把这些讲在前面，比事后解释「产品做不到」要好。

七、试用阶段怎么验这几件事

sTrust 提供 30 天免费试用，工程师协助接入配置。试用别停在「装上了、能登录」，建议按上面的回收点走一遍：建一个测试账号，登记一台测试设备，授权一个非核心系统，然后依次做停用、解绑、断会话、收权限，每做一步就用旧设备试一次。

能把这四步走顺，正式上线时照同样的单子执行就行。产品和试用入口见 sTrust 产品页；远程访问和组网怎么分工，可以看这篇 NAS 与 ERP 的安全接入说明。

小结：离职回收不是点一下「停用」就完了。身份、设备、会话、资源四个点一起收，再用旧设备实测一遍，才算真的断开。费用按实际人数、接入资源和实施方案评估，不在公开文章里列数字。