厂商要远程维护，给不给权限不是问题，给到什么程度才是。临时账号、操作留痕、结束即回收，这三步做到位，风险就是可控的。
一、风险不在"信任"，在"没有边界"
大多数第三方接入事故，都不是厂商恶意造成的，而是权限一直开着、没人知道谁在用。
- 长期有效的共享账号是最大隐患
- 直连生产环境、没有中转与审计的接入方式，等于开门办事
- 项目结束仍保留的账号，是最常见的遗留风险
二、接入方式怎么选
| 方式 | 适用 | 风险 |
|---|---|---|
| 厂商自带工具直连 | 紧急处理 | 高，无审计 |
| 堡垒机中转 | 常规维护 | 低，可录屏可审批 |
| VPN + 跳板 | 长期驻场协作 | 中，需限定网段与时段 |
| 厂商侧远程协助 | 单次排障 | 中，需我方有人在场 |
同一家厂商可以并存多种方式，但每一种都要写进接入申请单，明确使用条件。
三、账号：临时、最小、有时限
- 一个厂商一个账号、实名到人，禁止共享
- 权限按需申请，默认只读，写操作单独审批
- 有效期与维护窗口对齐，到期自动失效
- 高危命令列表提前约定，触发即阻断并通知
四、留痕：会话录屏与命令日志
- 堡垒机会话全程录屏，保留时长与合规要求一致
- 关键操作前后抓取配置备份，便于事后比对
- 每次维护结束后由我方人员复核操作记录
- 日志要防篡改，存于第三方无法访问的位置
五、结束与回收：一张清单
- 关闭账号，撤销密钥、证书与 VPN 配置
- 收回临时发放的设备与介质
- 核对维护期间的变更是否都已登记入册
- 更新资产与账号台账，标注已回收
把"接入"当成一个有开始也有结束的流程
开工前审批、过程中留痕、结束后回收，缺一步都会留下尾巴。
#第三方接入#远程维护#权限管理#安全审计
