如何设置访客账户权限

访客账户权限设置的何设户权核心就一句话：给最少，够用就行。置访别嫌麻烦，客账这一步做不好，何设户权后面全是置访坑。

我见过不少公司，客账访客Wi-Fi密码贴在前台，何设户权结果隔壁写字楼的置访人天天来蹭网。更离谱的客账是，有家合作方的何设户权访客居然能浏览到内部文件服务器的目录列表。原因很简单——IT图省事，置访给访客开了个“临时员工”权限，客账结果这个“临时”持续了半年。何设户权

先分清你要防谁。置访访客分两种：一种是客账真来开会的客户，待两小时就走；另一种是外包驻场人员，可能要待两周甚至两个月。前者给个能上网的访客Wi-Fi，外加会议室投屏权限，足够了。后者麻烦些，得单独建个“外包协作”组，只开放他们干活必需的那几个共享文件夹，比如项目资料、设计源文件。别一上来就放行整个公司网络，那等于把大门钥匙交给陌生人。

具体操作上，Windows域环境里，你可以在AD里建一个“Guests”组织单位，把访客账户全丢进去。然后通过组策略，锁死控制面板、禁用USB存储设备、屏蔽本地磁盘访问。注意，别用“Users”组，那个权限太大——访客能改自己电脑的IP设置，就能顺手改掉你的子网掩码，然后整个内网路由就乱了。我吃过这个亏，当时一个访客为了连打印机，手动改了个静态IP，结果和服务器冲突，全办公室断网半小时。

Linux服务器上更直接。用visudo给访客加个受限的sudo规则，但千万别给root权限。我见过有人图省事，直接把访客的公钥加进root的authorized_keys里，后来那人离职了，钥匙没删，服务器被扫了三个月。正确做法是：新建一个/home/guest目录，用chmod 755只给读和执行权限，写权限一律不给。如果访客要上传文件，单独开个/tmp/incoming，设个sticky bit，防止他删别人的文件。

Wi-Fi这块，别用WPA2-PSK共享密码。用企业级WPA2-Enterprise，每台访客设备发个独立的临时账号，设定8小时自动过期。华硕和Ubiquiti的路由器都支持这个功能，设置界面里叫“访客网络认证”，点几下就能配好。你要是嫌麻烦，至少把访客网络隔离（AP隔离）打开，让连同一个Wi-Fi的设备互相看不到。

最容易被忽略的是云盘和协作工具。你给访客开个钉钉或飞书的外部联系人，记得关掉“允许查看公司通讯录”这个选项。默认是开的，很多人不知道。访客要是顺手翻翻，能把你公司所有人的手机号、部门、职位全导出。那感觉就像请人进家门，结果他把你的抽屉挨个拉开看了一遍。

权限设完，得测。别自己觉得没问题就完事。找个不常用的笔记本，用访客账户登录，试着访问共享盘、打开公司内网页面、连一下打印机。每个操作都试一遍。测试时注意看日志——系统会记录访客的登录时间和访问路径。我习惯每周五下午翻一遍日志，看看有没有异常行为，比如凌晨两点还有人登录，或者访问了销售部的报价单文件夹。

最后说个细节。访客账户的密码别设成“guest123”这种，也别让前台统一用同一个密码。每个访客单独生成随机密码，用短信或邮件发给他。密码有效期最多48小时，过期自动失效。这招能拦住大部分“顺手记下来下次再用”的情况。

权限这东西，设得严了，访客抱怨不方便；设得松了，出事的就是你。平衡点在于：把能公开的东西（比如公司介绍PPT、产品手册）放到一个公共只读盘里，剩下的全部默认拒绝。访客要什么，走审批流程临时开通，用完即关。这多出来的几分钟操作，换来的是你晚上能睡个安稳觉。