共享文件夹的权限有个特点：加权限只要一分钟，收权限却要先搞清楚"当初为什么加"。几年下来，直接授权满满当当，没人看得懂。
一、第一步：把现状导出来看
不要凭印象讨论权限。先把实际的访问控制列表导出成表格：目录路径、用户/组、权限级别、是否继承。
- 重点看两类：直接授权到个人的条目、以及权限过宽（所有人可写）的目录
- 统计每个目录被授权的账号数量，异常多的往往有问题
- 标出长期无人访问的目录，这类可以先归档
二、第二步：按角色归并
权限应以"组"为最小单位，不以"人"为单位。
| 角色组 | 典型权限 | 适用目录 |
|---|---|---|
| 只读-全员 | 读取 | 制度、公告、模板 |
| 读写-部门 | 读取、写入、修改 | 部门共享目录 |
| 读写-项目组 | 读取、写入、修改 | 项目目录，随项目结束回收 |
| 管理-部门负责人 | 完全控制 | 本部门目录 |
归并完成后，把人员的直接授权全部去掉，改为加入相应的组。这一步会减少大量条目，也让后续调整变成"改组"而不是"改人"。
三、第三步：处理三类顽固问题
- 历史遗留的宽权限：先收紧，收到投诉再按需开放，比反过来更容易推进
- 无人负责的目录：定一个归属人，找不到归属的进入归档区
- 外部人员访问：单独建组，带有效期，到期自动回收
先收后放，配合通知
收权限前一周发通知，说明调整范围与新申请方式。有投诉就说明流程有效，而不是流程失败了。
四、第四步：维护成一张表
梳理完成后，交付一份权限表：目录、角色组、权限级别、负责人、最近复核日期。每半年复核一次，人员变动时同步更新。
五、把复核写进日常
权限表的价值在于能被定期核对。建议把"权限复核"作为季度固定动作，与新员工入职、离职清理结合。权限不是一次梳理完就结束的事，它需要有个"每年看一眼"的机制。
#共享权限#权限梳理#访问控制#运维事业部
