密码库怎么分给团队用：权限分级与离职收权清单

团队把共享 Excel 换成密码管理器，通常只解决一半问题。第二天就卡住：谁来建库、谁给谁开权限、外包要不要给、同事离职后账号什么时候收回。

软件只提供「成员 / 分组 / 权限」三个旋钮，怎么拧是管理设计。下面按「结构 → 矩阵 → 收权 → 审计」四步走，可以照抄成团队规范。

一、先搭三层结构，别一上来就建库

多数人第一步就「新建共享文件夹」，半年后变成几十个命名随意的文件夹。正确顺序是先定结构，再填条目。

约束只有一条：成员挂在组上，权限挂在分组上，别直接给人单独开条目。单人授权一多，离职时就没人记得该收哪几条。

二、把权限写成矩阵，别靠口头约定

多数密码库有三档权限：可管理、可编辑、只读，有的还有「可用但不可见」（自动填充不显示明文）。四类角色配下来大致如下：

三条判断标准，帮忙定档：

• 能改密码 = 能踢人：改条目等于把别人锁在门外，只给负责人。
• 能看明文 = 能复制走：只读多数仍可见密码，敏感系统用「可用不可见」。
• 能导出 = 能带走全库：导出默认关闭，用时临时开、用完关、事后查日志。

三、三种共享口径，别混着用

「分给团队」不等于塞进一个大文件夹。实际有三种口径：

1. 团队库共享：长期共用的系统账号，成员进退组即生效。适合服务器、支付后台、广告账户。
2. 个人库 + 单条共享：主账号（邮箱、密码库本身）留个人库，只临时共享某一条并设到期。适合一次性交接。
3. 机器凭据：API key、部署密钥放进单独分组，只让 CI 或运维读取，配轮换周期。

最容易出事的是前两种混用：把个人账号放进团队库，等于交出邮箱主控权。这条边界与 家庭密码共享的权限设置 同一套逻辑，只是角色更多。

四、离职收权：按这个顺序，30 分钟做完

顺序错了会留后门：先删人再改密，等于让对方在最后一刻看到新密码。正确顺序是「先改密、再移除、最后复核」。

1. 冻结入口：先停用公司邮箱、SSO、VPN，让对方无法再登录任何系统。
2. 轮换关键密码：他接触过的生产服务器、支付后台、云控制台逐个改密，改完确认新密码已入库。
3. 撤销共享：把成员从所有组里移除，收回单条共享；检查是否有「待接受邀请」。
4. 作废凭据：吊销他名下的 API key、SSH 公钥、OAuth 授权、应用专用密码。
5. 复核设备：踢掉已登录会话，检查二次验证是否还绑在他的手机号上。
6. 留档：交接单记下时间、操作人、改了哪些条目。

五、留下痕迹：审计项比功能更重要

自带访问日志通常够用，但要能回答这几件事：

• 谁在什么时候查看了明文（而非仅自动填充）；
• 哪些条目被导出过，导出量多少；
• 成员与权限的变更记录，特别是被临时提到「可管理」的人；
• 长期未登录的成员，和没人用的旧账号一样，优先清理。

把审计做成月度动作：每月看一眼导出记录与权限变更，比事后翻日志有用。

六、三种常见失败模式

共享一个「团队主密码」。所有人用同一套凭据登录，日志里全是同一个名字，出事查不到人，换人还得全员改。

把密码库当通讯录。几百条没人维护的旧条目，成员找不到要用的，最后又回微信里问密码。命名和分组规范要在第一周定好。

只上工具，不配二次验证。密码库是所有密码的总钥匙，管理员没开二次验证等于共用一把没锁的钥匙。见 开启双重验证的步骤 与 怎么挑密码管理器。

七、上线前验收清单

• □ 组结构 ≤ 6 个，每个组都有一个负责人
• □ 敏感系统已设为「可用不可见」，不是简单只读
• □ 导出权限默认关闭，开启需审批并留日志
• □ 全员（含管理员）已开启二次验证
• □ 离职收权流程写进交接单，顺序为「冻结 → 改密 → 撤销 → 吊销 → 复核」
• □ 每季度跑一次权限复核，清理长期未登录成员
• □ 机器凭据单独分组，标注轮换日期

常见问题

团队只有三五个人，也要分这么细吗？

组可以少，但「谁能改、谁能看明文、谁能导出」必须分清。最常见的翻车是所有人都是管理员，一个人误导出，全队凭据都要重设。

外包人员怎么给权限最稳妥？

单独建外包组，只给「可用不可见」，不给导出；到期时间写进合同，共享用临时链接设有效期。项目结束按离职流程走一遍。

成员反映「可用不可见」填不进某些网站怎么办？

有些站点会检测自动填充或拆分登录步骤，这类只能退回只读，用更短的轮换周期补偿。取舍参考 自动填充失效的处理。

密码库管理员自己能看所有人的密码吗？

取决于产品。端到端加密的团队库，管理员通常只能管成员，解不开个人库；有些产品为「企业可恢复」保留托管密钥。选型时问清这条，它决定你的信任模型。

小结

答案在软件之外：结构先定、矩阵先写、收权有顺序、审计有节奏。规则不清楚，再好的密码库也会退化成一张带锁的共享表格。