安全管理员 系统管理员 安全审计员 三权分立怎么配

很多单位的三权分立只停在制度文件上：系统管理员顺手把日志删了，审计员用的是管理员给开的账号，安全管理员既管策略又管机房。真到检查或出事复盘时，才发现三个角色其实是一个人或者互相能顶替。这篇按职责切分、互斥清单、配置顺序三步讲，给一份能照着落地的配置思路。

很多单位的三权分立只停在制度文件上：系统管理员顺手把日志删了，审计员用的是管理员给开的账号，安全管理员既管策略又管机房。真到检查或出事复盘时，才发现三个角色其实是一个人或者互相能顶替。

这篇不讲概念，讲怎么配。按职责切分、互斥清单、配置顺序、验证四步走，给一份能照着落地的思路。判断标准只有一条：谁能单独改掉自己的痕迹，谁就不该同时握有另一项权力。

先把三个角色的边界画出来

安全管理员管策略与授权：谁能访问什么、账号怎么开、密钥怎么轮换，但不碰业务系统的日常操作，也不接触审计日志的介质。系统管理员管运行与变更：装系统、改配置、发版本、日常运维，但不自批权限，也不碰审计存储。

安全管理员

定策略、批授权、管密钥，决定「谁可以做什么」，不执行日常变更

系统管理员

执行变更、维护系统、处理故障，决定「怎么把事做成」，不给自己批权

安全审计员

独立看日志、查异常、出报告，只读不写，不参与任何配置变更

关键判定标准是「谁能单独改掉痕迹」。如果一个角色改完配置还能顺手清掉自己的操作记录，这个分权就是假的。反过来，只要审计记录落在操作者改不到的地方、审计账号由独立通道管理，兼任就不一定出问题。

互斥项清单：这几种兼任直接判不合格

• 系统管理员与安全审计员不得由同一人担任，这是最硬的一条互斥，没有商量余地
• 安全管理员与系统管理员在中小单位可以兼任，但要留出审计环节做补偿，也就是由审计员独立复核
• 权限申请、审批、开通不能是同一人闭环，否则等于没有审批
• 审计员的账号不由系统管理员创建和重置，密码重置走另一条独立通道，否则管理员随时能冒用审计身份
• 临时授权必须有明确回收时点，不能靠人记

1. 列账号清单把现有账号逐个导出，标注每个人实际承担的职责，不要看岗位名称，看登录后能干哪些事
2. 标跨角色行在清单里找出同一个人横跨两个角色的行，重点看有没有同时碰配置权和日志权
3. 决定拆人还是拆账号人拆不动就先拆账号，用独立身份把操作和审计分开，验证方式是看日志能不能区分出是谁干的

配置落地顺序：从账号到日志

1. 第一步：建独立账号体系三个角色各用各的账号，禁止共用管理员账号。验证方式：登录日志里每个操作都能对应到具体的人和角色
2. 第二步：划分权限组按最小权限给。系统管理员不给审计日志读取权，审计员不给配置写入权。验证方式：用系统管理员账号尝试读日志，应该失败
3. 第三步：把日志落到审计员可读、其他人不可改的位置开启操作留痕并保证时间同步。具体留哪些字段、存多久，可以对照站内日志脱敏与留存那类页面核对当时的要求
4. 第四步：定复核节奏谁在什么周期看一次审计记录、异常怎么上报，写成可执行的表单而不是一句「定期检查」。验证方式：抽查一次复核记录，看能不能对上时间

权限开通的具体流程，可到 站内审计日志权限开通（/guides/audit-log-access） 那篇看操作层细节，那里讲的是怎么点、怎么验，这篇只定角色分工。两篇配合看，分工和操作才不脱节。

配完之后怎么验证没走样

配置不是一次性的，制度文本和实际权限很容易脱节。检查时以实际能做什么为准，不以文档写了什么为准。发现漂移先补权限，再改文档，顺序不要反。

• 做一次交叉测试：让系统管理员尝试读取或删除审计记录，应该失败
• 让审计员尝试改一条系统配置，也应该失败
• 两条都挡住，才算配成；有一条能通，说明分权没落地
• 定期核对账号与人员变动，尤其是离职交接和临时授权
• 涉及数据出境的单位，角色划分还要和合规评估流程对齐，这条可到站内安全与合规分区相关页面看

临时权限是漂移的高发区。给的时候就要写清楚谁批的、用到什么时候、到期怎么回收，回收动作要有人执行并留记录，否则一次应急授权可能变成永久后门。

三权分立配没配成，不看制度写了多少页，看系统管理员能不能删掉自己的记录。