01
角色分组先立骨架
按岗位职责划分管理员、审核、只读三类角色，先定分组再往里面加人，避免为每个人单独授权造成后期对不上账。
基础动作
配置顺序
六项配置要点，逐条核对
从建角色到收权限，每一步都有明确动作。建议按编号顺序执行，避免先建账号再补权限造成空档。
02
权限矩阵逐项勾选
页面权限、数据范围、导出能力分开勾选，默认保持最小可用。超出当前岗位需要的选项一律先关掉，等有明确需求再开。
核心设置
范围对照
03
子账号独立创建
为每位成员建立独立子账号，绑定本人的手机号或邮箱，不与主账号共用凭据。谁在什么时候做了什么，记录才对得上人。
身份隔离
配置顺序
04
限定登录范围
设置允许登录的网段与常用设备，超出范围的访问请求需要额外确认。异地或移动办公场景可设置临时放行，并记录原因。
风险收敛
范围对照
05
敏感操作加二次验证
对权限变更、数据导出等操作开启二次校验，校验方式与生效范围按角色分别配置，不必给只读成员增加额外步骤。
安全校验
范围对照
06
离岗与调岗及时回收
成员离岗或调岗时关闭子账号、收回角色、移交名下数据，并检查是否有共享凭据仍在流通。回收动作同样会写入操作记录。
收尾必做
常见疑问
一次配好的四步顺序
顺序错了容易返工。先想清楚岗位，再落到权限，最后才建账号，能少走很多回头路。
01
梳理岗位与职责
列出当前有哪些岗位在使用，每个岗位需要看哪些页面、能不能导出、要不要审核。
02
建立角色与范围
把职责相同的岗位合并成角色，在权限矩阵中勾选对应项，确认角色之间没有重复授权。
03
创建子账号并绑定
为成员建立独立账号，绑定本人手机号或邮箱，指定角色，并设置可登录的设备与网段。
04
复核生效并留存记录
让成员登录确认可见范围是否正确，将本次配置的角色、人员与时间写入交接记录。
授权范围怎么划，两种做法对比
同样是给权限，先想清楚边界的人后期省事，靠习惯发放的人往往要花更多时间收拾。
按角色授权，边界清楚
- 新人入职只需拉进对应角色，无需逐项勾选
- 权限变更集中在一处，改动范围一目了然
- 成员调岗时替换角色即可，旧权限同步失效
- 角色数量可控，复核时不会漏掉隐藏授权
按个人发放，容易失控
- 同一岗位的权限各不相同，无法横向对比
- 调整时容易只加不减，权限逐月累积
- 人员离岗后残留授权难以一轮查清
- 无从判断某项权限当初为何被打开
配置过程中最常问的几件事
这些问题出现的频率最高，先看一遍能省掉一半来回确认。
同一成员可以同时属于多个角色吗？
可以。系统按角色叠加权限，成员在多个角色中获得的权限取并集。为避免权限膨胀，建议一人最多绑定两个角色，并在备注中写清额外授权的业务理由。
权限调整后多久生效？
保存后通常在下一次请求时生效。如果成员正处于已登录状态，建议让其退出重新进入，确保新的权限范围与新会话一同加载。
临时协作人员怎么配置？
为临时人员单独建立子账号，只授予当前任务必需的权限，并设置明确的到期时间。任务结束后主动关闭账号，不要依赖到期自动失效作为唯一手段。
子账号无法登录时先检查什么？
先确认子账号是否处于启用状态，再检查绑定的手机号或邮箱是否能正常接收验证码，最后核对登录设备与网段是否在允许范围内。三项都正常时，再查看该角色是否还保留登录权限。
权限回收后历史操作记录还在吗？
还在。回收权限只影响后续访问，之前的操作记录仍保留在记录中，可按子账号名称或时间范围检索，便于交接与复核。