【项目背景】
青山王府井写字楼里一家六十人的设计咨询公司，文件服务器服役七年，账号体系一盘散沙：共用账号七八个，离职员工账号半年没停，财务共享盘业务部的人也能进。上个月一位离职设计把客户清单拷了个精光，老板事后才从监控和邮箱记录里拼出来。老板最初的想法是"买台NAS重新弄"，实际上设备只是躯壳，权限治理才是这场病的根，不治根换什么设备都白搭。
【咨询设计】
方案两步走。第一步立骨架：部署Windows Server 2022双域控（主备），全员账号从本地账号迁入域，密码策略统一——长度十二位、复杂度强制、九十天更换、五次锁定；本地管理员密码用LAPS方案逐机随机化，杜绝"一台被破全网沦陷"的横向渗透路径。第二步理权限：按AGDLP模型重构，部门建全局组，权限挂到组不挂到人，财务、人事、项目库三大共享区重新划界，项目组权限随项目建组随项目回收，离职流程绑定账号当日禁用——过去"人走了号还在"的老账一次清完。文件服务器启用FSRM文件屏蔽，可执行文件和常见勒索后缀禁止落盘，共享审核日志全量开启。
【施工规划】
迁移选在周五晚到周六，先域控后客户端，六十台机分三批入域，脚本批量改域名后缀和映射盘，员工周一上班无感。历史权限清单先导出评审：跑脚本枚举全部共享目录的ACL，导出Excel让部门负责人逐条认领，认领不了的默认收紧——权限这东西宁紧勿松，松是事故，紧最多是麻烦。顺带关闭SMBv1，这台老服务器还在裸奔一个 WannaCry 时代的协议，查到时后背发凉。
【安全补丁】
共享审核日志接入轻量SIEM，批量下载、非工作时间大批量读取自动告警——上次那种整库拷走的行为，下次在第一分钟就会被掐断；共用账号全部取缔，实名到人；财务区加二次授权，跨部门访问走审批。这些不是额外花销，是把过去欠的安全账还上。
【验收交付】
抽查三十个目录权限与矩阵一致率100%；模拟离职流程，账号禁用、权限回收十分钟闭环；勒索后缀文件投递测试被FSRM拦截。交付权限矩阵文档和管理流程卡，行政负责人培训了入离职账号操作，全员宣讲了一堂"为什么不再有公共账号"。
【售后承诺】
权限体系要养不要装，我们承诺2小时上门，大年三十打17704868686也接，终身免费咨询，每季度免费复核一次权限矩阵。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）