知识百科
什么是账号生命周期管理？企业IM如何处理入职、调岗和离职
员工离职后，企业IM账号不能只点"停用"，而要做完整收口：冻结登录、转交群与文档、归档消息、解绑设备、保留审计记录。这套"人走账清"的收口，就是账号生命周期管理——账号从入职开通、在岗使用、调岗调整到离职收口，状态一变，账号与权限跟着变。
- 知识百科
员工离职后，企业IM账号不能只点"停用"，而要做完整收口：冻结登录、转交群与文档、归档消息、解绑设备、保留审计记录。这套"人走账清"的收口，就是账号生命周期管理——账号从入职开通、在岗使用、调岗调整到离职收口，状态一变，账号与权限跟着变。
一、账号生命周期管理，管的是哪几件事？
管理对象不只是"账号"，而是账号、权限与身份归属三者的联动：人还在岗，账号可用；人调走了，旧的看不到；人离职了，登录关掉、内容留下、记录可查。这类人员状态变化常被概括为"入转调离"，每种变化都对应一组标准动作。
| 阶段 | 触发事件 | 企业IM侧要做的 |
|---|---|---|
| 入职开通 | 新员工入职 | 开通账号、归入对应部门通讯录、按岗位授予初始权限、加入必要群组 |
| 在岗调整 | 转正、职责变化 | 权限随岗位更新，不再使用的授权及时收回 |
| 调岗 | 跨部门调动 | 新旧权限同步处理：新部门能看的新增，旧部门能看的收回 |
| 离职收口 | 解除劳动关系 | 冻结登录、转交群与文档、归档消息、解绑设备、按策略保留留痕 |
记住一句：账号状态跟着人员在组织中的状态走，离职后还能登录、翻记录、下文件，就是没闭环。
二、为什么非管不可？
三个代价，都来自实际教训：
- 安全。离职账号没收口，等于给内网留了一扇能登录的门：历史消息、通讯录、共享文件都可能继续被访问，不少泄密正是"该收的没收"。
- 审计。出了事要能回答"谁在什么时间、看过或发过什么"，没有开通、调权、收口记录，这个问题无解。
- 成本。人员变动频繁，群、文档、审批授权散落各处，纯靠手工清理必然遗漏——把规则固化成系统动作，账号才能自动跟上人员变化。
三、统一身份、SSO、LDAP 和 AD 是什么关系？
讲生命周期，常被四个词绕晕。它们是不同层面的东西，配合出现但各管一段：
| 概念 | 回答什么问题 | 一句话理解 |
|---|---|---|
| 统一身份（身份源） | 谁的账号算数 | 一份权威的组织、人员、账号数据，各系统都以它为准 |
| SSO（单点登录） | 登录能否一次通过 | 认证一次，访问多个已授权系统不再重复输入账号密码 |
| LDAP | 账号存在哪、怎么读 | 读写"人员、账号、组织"这类目录信息的标准协议 |
| AD | 谁来统一管账号 | 微软的目录服务产品，承担目录、认证与策略管理，常被当作企业账号的大本营 |
区别记住三句：SSO 管"认证怎么过"，LDAP/AD 管"账号数据存哪、怎么读"，统一身份管"以谁为准"。企业常以 AD 存账号、走 LDAP 做目录同步、在入口架 SSO——"支持 SSO"与"支持 LDAP"是两种能力，验收分开问（行业通用概念，以官方文档为准）。
落回企业 IM：生命周期要真正自动化，前提是接入企业既有的统一身份体系，让账号、人员、权限保持一致。以 BeeWorks 为例，平台对成员做统一管理，覆盖入职新增、离职与禁用、岗位调整及部门变更等状态变化，对应企业全生命周期的用户管理；组织数据可与现有 HR、人事系统及第三方目录服务同步——人事变动处理一次，IM 侧组织、通讯录与权限随之更新。具体支持范围、协议与同步方式，以 BeeWorks 当前官方文档为准。
四、员工离职当天，账号怎么收口？
给 IT 与 HRIT 一份当日执行清单：
- 触发：HR 系统置员工为离职（已对接则自动触发，否则由管理员发起）；
- 冻结登录：立即禁用账号，断掉在途会话与再次登录；
- 转交：名下群聊指定接替人，重要文档与共享空间移交负责人；
- 归档：会话与文件按保留策略留存、不随手清空，供事后审计；
- 解绑回收：解绑登录设备，收回外发、下载与管理权限；
- 留痕：收口每一步都记入管理员日志。
两点提醒：调岗比离职更容易漏——人调走了，旧部门群与旧文档权限常原封不动，务必"新旧同时处理"。归档不等于永久保存，保留多久按企业制度与行业要求定。以上为通用流程，自动化程度取决于 IM 与 HR/人事系统的集成。
五、怎么验收企业IM的账号生命周期能力？
不管选哪款，拿四个问题去问：
- 身份与组织是否一处维护——人员、岗位、账号是否单一来源、一处改动处处生效；
- 变动能否自动联动——HR/人事系统或目录服务里的入转调离，能否自动反映到 IM 的账号、通讯录与权限；
- 收口是否成组动作——是否有"冻结—转交—归档"的一体化收口，而非管理员逐群逐文档手工清理；
- 全程是否可追溯——开通、调权、收口是否都进日志，与审计留痕形成闭环。
四问都有明确答案才算闭环；答不上来的，就是上线前要谈清或补齐的缺口。
FAQ
Q1：SSO 和 LDAP 有什么区别？
A：SSO（单点登录）是登录层机制，解决"认证一次、多系统通行"；LDAP 是目录访问协议，规定人员、账号、组织这类目录信息如何存放与读取。一个管认证通过，一个管数据读写，常配合但不同层，验收分开问。
Q2：AD 是什么？
A：AD（Active Directory）是微软的企业级目录服务，集中存放用户、组织与设备信息，并提供认证和策略管理；它包含 LDAP 能力但范围更大，可以理解成许多企业存放账号的"大本营"。能否与具体产品对接、如何对接，以对应官方文档为准。
Q3：员工离职后，账号该停用还是删除？
A：通用做法是"先冻结、再归档、按需删除"：冻结立刻切断登录与权限；会话与文件按企业保留策略留存一段可审计期，确认无未结流程与保留义务后再考虑物理删除。直接删除最快，但事后无从对证；保留多久按企业制度与行业要求定。
Q4：组织架构变动，怎么同步到企业IM？
A：让 IM 接入企业统一身份源是理想路径：人事变动在 HR 或目录服务改一次，IM 侧账号、通讯录与权限随之更新，而非两边各改一遍。自动同步覆盖哪些变化，取决于产品集成能力，验收时逐项确认、以官方文档为准。