新人報到第一天，整天都在等帳號

等了兩天的新人，和多留了半年的權限

假設有一家五十人的軟體公司，入職流程是一份共用試算表：HR 填新人資料，IT 照表開帳號。某月同時來了三位新人，IT 剛好請假，新人等了兩天才拿到全部權限，其中一位還被加錯群組，看得到財務資料夾。同一個月，業務 I 調到行銷部，新部門的工具開了，他的 CRM 管理權限卻一直沒收回，半年後做權限檢查時才被發現。

先說清楚，這是示意情境，不是真實事件，公司與人物都是為了說明而設。新人第一天上班，筆電拿到了、座位也有了，然後開始等：等郵件帳號、等專案工具的邀請、等共用資料夾的權限。主管傳訊息給 IT，IT 回「今天下午處理」，一天就這樣過去了。

這篇要講的只有一件事：「開」和「收」要放在同一張表上。

開太多、收太少、開太慢

第一個問題是多開。「跟某某一樣」的複製方式，常常連不需要的權限一起複製過去；被加錯群組的那位新人，就是這樣看到財務資料夾的。

第二個問題是漏收。調職時通常只「加」權限，很少有人記得「減」，權限就越疊越多。

第三個問題是延遲。等不到帳號的新人，就會借別人的帳號，或自己註冊工具先用，這些都不會出現在任何清單上。

最後是沒有紀錄。誰在什麼時候開了什麼權限，試算表不一定留得住。

這個示意情境裡，有哪些權限不該在那裡

這是示意情境，沒有實際外洩；下表列的是入職與調職流程最常留下的兩種多餘存取權。

兩列都不是誰偷來的，是流程自己多給的。

能證明的、只能推論的

這篇是觀點文，情境是虛構的示意，情境裡的任何紀錄都不能當證據；能證明的只有 sources 裡官方文件可以核對的功能，情境中的狀態一律算推論。

不花錢就能做的流程

到這裡，其實已經足夠理解問題在哪。如果你想直接動手，可以跳到「今天就可以來試試」；下面是六個步驟，第一步是後面所有步驟的基礎。

第一步，職務標準權限表。 先從人數最多的兩三個職務開始，寫清楚入職要開什麼、調離時要收什麼；我們管它叫「開收表 F-5X」。這張表就是之後所有自動化的基礎。

第二步，用群組，不要逐人設定。 在 Google Workspace 或 Microsoft 365 裡，依職務建立群組，權限掛在群組上。新人加入群組就有權限，調職時換群組，舊權限就跟著移除。

第三步，到職前一天完成。 HR 至少提前三個工作天通知 IT，IT 在到職前一天開好帳號，並把清單交給主管確認。

第四步，調職要同時「收」和「開」。 對照舊職務的表（要收的）和新職務的表（要開的），兩邊都要打勾才算完成。

第五步，給新人一條合法的路。 入職第一天就告訴他「公司核准的工具有哪些、要新工具找誰」，避免他自己註冊。

第六步，每半年抽查一次。 挑幾位最近調職的同事，比對實際權限和標準表。

什麼時候不需要買工具

每月入離職只有一兩人、應用不多的公司，「標準權限表加群組」就能解決大部分問題。自動化工具的價值，在人員流動頻繁、應用數量多的時候才會顯現。

真的要看工具，大致分三類。身分平台的群組和自動配置：Google Workspace、Microsoft Entra 的群組，加上支援 SCIM 的應用，就能做到加入群組時自動開通。身分治理：Microsoft Entra 的存取審查可以定期檢查群組成員資格，授權需求如上。商用 SaaS 管理平台：例如 1Password SaaS Manager（官網說可以由 HRIS 事件或 IdP 群組變更觸發工作流，包括非 SSO 應用）、Torii（官網列出入離職自動化）。

限制也要一起看：自動化的前提是「什麼職務該有什麼權限」已經定義清楚；HR 系統的資料如果不準，自動化只會更快地開錯權限。選的時候看三件事：人員流動頻率（低頻用表格和群組，高頻再考慮串接 HRIS）、有沒有可靠的到職與調職事件來源、應用的 SCIM 支援度（先盤點有多少應用可以自動配置）。

這篇提到的項目要花多少錢

原文沒有給出工具牌價，這篇的方法以人力為主，表裡照實標成估算或未公開。

表和群組幾乎不花錢；真正的成本是新人閒置的那兩天，和多留了半年的那份客戶資料權限。

你可以學到什麼

站在攻擊者那一側看，權限越疊越多的帳號是最划算的目標：一個調過兩次職、沒人收過權限的帳號，等於同時握著幾個部門的鑰匙。他只要釣到這一個人，就不用一個部門一個部門地打。

揭露：本文未受任何廠商贊助，提及的產品僅為舉例。