情境 05 IT 人員 · 週五 17:30
一個帳號，整個機隊
有人離職了，你要在同一天停用他在 14 台 NAS 的本機帳號，又不能把自己鎖在外面
10道 · 身分外掛的程式護欄 I1–I10
17:30
下班前最不想手動做的事
14 台 NAS、一份離職名單，還有一個不能出錯的順序
- 誰有那個帳號，在哪幾台
- 哪些帳號不能動
- 停用之後要怎麼確定真的停了
- 如果有人事後再啟用，我看得到嗎
畫面
政策、預覽、逐台讀回
每一步都留下可以回頭查的依據
停用帳號是一條政策
規則指定要停用具名的本機帳號，Controller 帳號和 administrators 永遠跳過
預覽逐台列出
每一台要動哪個帳號、目前狀態和世代都凍結在預覽裡，digest 一改就得重新預覽
護欄不是目錄資料
只寫本機帳號，不碰 Controller 自己的登入，不移除最後一位 administrator，也不動內建帳號和系統群組
有例外，也有到期日
例外可以細到組織、政策、NAS、世代、設定項和物件，能續期、撤銷、恢復，最長 365 天
步驟
你會做到
01
建立或選一條政策
從起始範本開始、從一台 NAS 複製，或開空白，4 份起始範本裡有基本安全
02
預覽，先看第一台
先送 1 台，讀回 verified 之後才分批，每批 20，預設 5
03
失敗就停
pause_on 可以設 any 或 uncertain，不確定就暫停，不會硬送下一批
04
逐台讀回
結果有已變更、已符合、失敗、無法確認、略過、待執行，全部已變更或已符合才叫 completed
05
留給下一個人看
每個狀態轉換和逐台結果都寫稽核，一次性顯示的密碼只有確認者讀得到一次
帶走什麼
批次是能力，跳過誰是設計，一次按下去，也要能一次講清楚誰被改了、誰被跳過