外包工程师打来电话：「我远程上去看一下，给我开个权限。」半小时后故障可能真修好了，但另一件事常常没人接着问：这个账号还能进哪些系统？换了台电脑还能不能登录？项目结束后，权限收回了吗？
远程排障本身没有问题。怕的是为了方便，递出去一个长期有效、谁都能用、进来以后哪里都能到的账号。
说明：我们是北京思文力得，提供 IT 运维外包，也做 sTrust 零信任软件。下面这套验收方法不绑定品牌，您可以拿去检查现有远程接入；涉及 sTrust 的部分，只写官网已经公开的功能。
一个远程账号，要过四道门
账号密码只回答了「谁知道这串字符」，没有回答「现在坐在电脑前面的是谁」。给企业外部人员开通访问，至少要把人、设备、资源和记录四件事对上。
| 要验的事 | 合格结果 | 别接受的说法 |
|---|---|---|
| 人员身份 | 一人一号，能对应到具体工程师 | 「大家都用公司公共号」 |
| 登记设备 | 未登记电脑即使拿到账号也不能接入 | 「密码复杂就够了」 |
| 访问范围 | 只到本次工作需要的系统或网段 | 「先进整个内网，出事了再查」 |
| 权限回收 | 人员更换或项目结束，管理员能立即停用 | 「下次来还要用，先留着」 |
| 访问记录 | 能还原谁、何时、用什么设备访问了什么 | 「只有一份登录成功日志」 |
别只看后台配置，做一次反向测试
后台里写着「已限制」不等于真的拦住。用专门准备的测试账号和一台未登记电脑，按下面顺序走一遍，不动生产数据。
- 先访问允许的系统：确认测试账号能完成本次工作，避免权限开得过于笼统只是因为「小了怕耽误事」。
- 再访问未授权资源：尝试打开另一个系统或网段，结果应当是到不了，而不是登录页还能出现。
- 换未登记设备：使用同一账号再次接入，应当被设备校验挡住。
- 当场停用权限：管理员回收后，已登录会话和新连接都要按方案设计失效，不能只看列表里变成了灰色。
- 拿日志对时间线：把刚才几次成功和失败的操作，与审计记录逐条对上。缺了设备、资源或失败原因，就继续补。
临时开通也要约定回收时间。真正省事的做法不是把权限长期留着，而是下次按既定流程快速重开。
外包合同之外，还要留一张权限交接单
合同里的保密义务解决责任问题，不能代替技术控制。开始服务前，企业和运维服务商最好共同留一份很短的清单：需要访问的系统、允许的工程师、登记设备、开通时间、回收人、日志由谁查看。
人员变更时改这张单子，管理员随即调整权限。企业自己保留管理员和回收权限，不把唯一的管理入口交给外部人员。运维人员能看到工作所需资源，企业也能随时核查和停止访问，这才是可持续的配合方式。
第三方协作的账号生命周期和离场检查，我们在《外包/第三方人员要连公司内网，权限怎么管》里单独整理过。这次补的是更具体的一步：怎么证明限制真的生效。
sTrust 能放在哪个位置
sTrust 零信任安全接入负责的是远程访问这一段：以员工身份和登记设备共同作为接入依据，按部门、岗位开放指定系统与网段，并保留访问记录。对异常登录可进行二次验证，人员离开或合作结束时，可由管理员回收权限。
它不改变 ERP、财务软件自己的账号权限，也不代替企业决定「哪个外包人员该看哪份数据」。企业先定业务授权，软件负责把边界落到每次访问上。总部与分支机构之间的固定互联，则可以和羽信安异地组网分开设计，不必把所有需求塞进一条通道。
官网当前公开口径是：30 人规模费用约 600–1000 元/月，提供 30 天免费试用（2026 年 10 月查看，具体以实际方案和订单为准）。试用时别只测能不能登录，直接拿上面的五项反向测试验收。
常见问题
已经有远程接入，还要全部换掉吗？
不一定。先测共享账号、设备校验、访问范围和日志四项。现有方案能补齐，就先补；补不了的部分再评估替换，比一开始推倒重来稳妥。
只给外包人员一个系统权限，为什么还要管设备？
账号可能在聊天记录、浏览器或旧电脑里留下。设备登记多一道门槛，账号意外流出时，陌生设备也不能直接拿来接入。
审计日志是不是越久越好？
关键是字段完整、时间准确、能查得到。保留多久应结合企业制度、合同和合规要求确定，不必脱离实际业务追一个统一年限。
小结：远程排障验收的终点不是「工程师连上了」，而是该进的能进、不该进的进不去、换设备会拦、权限能收、记录能对上。需要查看公开功能与试用入口，可前往 sTrust 产品页，或致电 400-686-2011。
