供应商和外包工程师要进内网，临时权限怎么给、怎么收？（2026）

上个月一家公司做 ERP 升级，实施方的工程师要进内网调数据库。行政问：”给他开个账号行吗？”结果开的是管理员账号，也没说什么时候收回。

这种场景每家公司都有：软件实施、设备维保、财务代账、外包开发、临时施工。人不是员工，但要进内网；活干完了，账号却常常留在那里。

内部员工的权限有 HR 流程兜着，外部人员没有。所以临时授权要当成一件独立的事来做，不能顺手开个账号了事。

四种给法，先分清代价

同样是让外部人员连进来，做法不同，风险和成本差很远。

不需要一上来就选最重的那种。原则很简单：对方要干什么，就只给干这件事需要的那一点，其余一概不给。

授权三要素：范围、时间、留痕

范围：写清能碰什么，而不是”给个权限”

含糊的授权必然超额。合理的写法是具体到：哪台服务器、哪个端口、哪个数据库、哪个目录，能读还是能写。

软件实施通常只需要访问业务库和一个部署目录，不需要整段内网。把”能不能访问财务系统”这条单独拎出来问一句，多数时候对方根本不需要。

时间：从哪一刻开始算，到哪一刻失效

临时账号一定要带有效期，最好精确到小时。活提前干完，就当场停；活没干完，重新申请一次。

比起”记得去停”，更可靠的是让系统到期自动失效。人都会忘，配置不会。

留痕：能回答”谁在什么时候碰了什么”

外部人员的访问记录要能查到人、设备、时间、目标。只记”登录成功”不够用，出事时说明不了任何问题。

这一点和内部员工的审计要求是一样的，可以对照我们写过的离职回收四个点，外部人员少的是”离职”这个信号，所以更依赖到期自动失效。

一张临时授权单

不用复杂，一页纸就够，把下面几栏填满再开权限：

• 谁：姓名、所属公司、身份证或工牌号、联系电话；
• 为什么：哪个项目、哪张合同或工单号；
• 能用什么：主机、端口、系统、读或写；
• 用到什么时候：具体到日期和小时；
• 谁批准：内部负责人签字，涉及数据还要业务部门会签；
• 谁回收：写清由谁负责停用，以及停用后怎么确认。

这张单子最大的作用不是防外人，是防内部人”顺手”。有了单子，谁批的、给了什么，事后都查得到。

活干完了，怎么确认真的收回了

停用按钮点完不等于收回了。建议做四个动作：

1. 用原账号和原密码试一次，确认被拒绝；
2. 让对方在他自己的电脑上重连一次，确认连不上，而不是本地缓存还在用；
3. 检查同一家公司是否还有别的账号在用，一并确认；
4. 把这次的访问记录导出来存档，至少留到合同结束。

第 2 条最容易被忽略。有些客户端会把配置缓存在本地，网络断了照样显示”已连接”，实际只是缓存，但也会让人误判。

常见的三个坑

• 一号多人用：对方公司来了三个人，共用一个账号。出了问题分不清是谁，回收也回收不干净。
• 权限往上加：先是只读，调试不顺就改成了管理员，最后没人记得改过。
• 项目结束没人管：验收单签了，账号还在。下一次审计才发现三年前的账号还活着。

零信任能解决的是”连得上但只能看到该看的”，解决不了”没人去停”。后者只能靠流程和签字。

试用阶段怎么验

sTrust 提供 30 天免费试用，工程师协助接入配置。如果正好有外部人员要进来，可以拿这件事当试点：建一个临时账号、只授一个系统的权限、设两小时有效期，然后到点看它是不是真的失效了。

产品和试用入口见 sTrust 产品页；总部 NAS 和 ERP 怎么给外地同事开放，可以看这篇接入说明。

小结：外部人员进内网，别用”开个账号”解决。范围写到主机和端口，时间精确到小时，到期自动失效，再用旧账号实测一次。费用按实际接入人数和实施方案评估，不在公开文章里列数字。