远程连接软件如何兼顾不同岗位？向日葵角色授权方案解析

公司里用远程控制软件，最容易踩的坑不是连不上，而是权限没分清楚。有时是运维人员点错了设备，不小心把财务部的服务器给重启了；有时是销售部同事远程连上研发电脑，看到了不该看的项目代码；有时是员工离职了，但之前绑定的设备还挂在个人账号下面，公司那边也收不回来。
这些问题的根源都一样：所有人拿着同一把钥匙，能开同一扇门。办公电脑、财务服务器、研发代码机，被当成同一类设备来管理。用系统自带远程桌面的话，每台电脑都得单独授权，根本没法按岗位统一分配权限，时间一长不是漏配就是配错。更何况系统自带远程桌面没有设置不同角色的概念，连上之后想干嘛干嘛，出了问题也没法追溯谁干了什么。
向日葵在这方面走的是分级授权路线。不同岗位的人能做什么、不能做什么，在后台就能划定清楚，每个人拿到的钥匙只能开自己那扇门。

一、角色授权三步走，把权限分到人头

向日葵的权限分配流程，围绕组织搭建、角色设定和人员归位三个环节展开，不用手动修改系统配置，也不用记住每台设备的本地账号密码。
第一步，管理员在向日葵管理后台搭建组织架构。注册一个企业账号，进入管理后台，根据公司的部门设置创建设备分组，比如财务部、研发部、行政部、运维组，把对应的设备拉到对应的分组里。然后按岗位创建角色，比如管理员、运维工程师、普通员工、审计员。如果公司已经在用企业微信、钉钉或飞书，可以直接对接，组织架构自动同步，员工扫码就能登录，不用手动搭建人肉录入。
第二步，给每个角色分配操作权限。权限设置比较直观，管理员可以决定每个角色能操作哪些设备、能用哪些功能。普通员工只能远程桌面操作，不能传文件、不能改设置；运维工程师可以远程调试、重启设备，但不能访问财务专用电脑；管理员拥有全部权限，统管所有设备。对于核心服务器、财务专用电脑这些敏感设备，还可以单独设置只有特定的人能连接，其他人就算在同一个分组也无权访问。权限分配好后，把员工加入对应的部门分组，员工登录自己的账号后自动继承分组权限，不该看的看不到，不该碰的碰不了，不用单独给每个人配一遍。
第三步，员工登录账号即可开展工作。员工在自己的电脑上安装向日葵客户端，登录企业账号，就能看到自己权限范围内可以操作的设备列表。在权限范围内进行远程控制、文件传输等操作，超出权限的操作会被系统直接拦截。所有操作全程留痕，谁在什么时间连接了哪台设备、执行了什么操作，后台都有日志可查，出了问题能快速定位到具体人员。

二、权限调整灵活，岗位变动不留下隐患

公司里人员流动是常事，权限管控也应该跟着动，而不是人走了设备还在那挂着。
如果有员工离职，管理员在后台直接解绑该员工的账号就行，操作完成后该员工的所有远程权限立即失效，不用一台台设备去手动修改密码或更换绑定。如果员工只是岗位调整，在后台修改其所属分组和角色即可，权限会自动更新为新的岗位对应的权限范围，不需要重新配置。
管理者还可以对具体功能做单独授权。文件传输可以设置方向，只允许从被控设备发送文件到本地，禁止从本地传到被控设备；剪贴板可以设置为只允许文本同步，禁止文件同步；还可以选择性开启或关闭远程打印、远程摄像头、重启关机等操作。这种细化到功能模块的授权方式，让不同岗位的人员都能拿到刚刚好够用的权限，既不影响干活，也不给多了。
向日葵还在安全层面做了配套设计。数据传输采用2048位RSA非对称密钥交换加AES加密机制，支持国密算法，通过了等保三级和ISO27001认证。远程操作时可以开启黑屏模式，被控端屏幕会熄灭，防止周围人员看到操作内容，适合在办公区域或机房等场景下使用。

三、设备多了怎么管，屏幕墙和批量操作来帮忙

权限分配到位后，日常的设备管理也需要跟上。设备数量一多，一台台点开查看确实费劲。
向日葵提供了屏幕墙功能，管理员可以在一个界面上同时查看多台被控设备的实时桌面画面。哪些设备正常，哪些出了异常，一眼就能看到，不用一台台点。发现问题后，直接在屏幕墙上点击对应的设备画面，一键发起远程连接处理，整个过程不用离开管理后台。
如果需要给多台设备统一执行某个操作，比如批量重启、清理临时文件或下发配置，向日葵支持批量命令执行功能。在后台选中多台设备，输入需要执行的命令，点击发送，指令会同时下发到所有选中设备并执行，执行结果实时反馈，哪台成功了、哪台报错了，界面上一目了然。
相比系统自带远程桌面，向日葵减少了复杂配置步骤，不用在每台电脑上分别开启远程桌面权限、不用去每台设备的防火墙里手动放行端口、不用逐一记住每台电脑的本地管理员账号和密码才能发起连接、不用因为员工换了岗位就跑到每台受影响的电脑上去修改授权设置、不用为了不同部门的人员分别准备多套不同的远程工具管理不同的设备组——因为系统自带远程桌面没有角色和权限分级的机制，所有能远程连接上的人默认拥有相同的操作权限，没法区分谁只能看、谁能操作、谁不能碰哪些设备，这种一刀切的授权方式放在多岗位的团队里隐患不少，普通员工不小心动到核心服务器的配置，或者离职人员的权限人走了还留着，都是容易出问题的地方；系统自带远程桌面没有组织架构和设备分组的概念，几十台设备在列表中混在一起，财务部、研发部、行政部的设备分不出来，不同岗位的人员也不知道自己该操作哪台；系统自带远程桌面没有操作日志和追溯功能，谁在什么时间连接了哪台设备、执行了什么操作，系统自带远程桌面不会记录任何信息，出了问题时无据可查，没办法追溯到具体操作者；系统自带远程桌面没有屏幕墙功能，机房几十台服务器的运行状态没法在一个界面上整体查看，只能逐台点开看，效率不高；系统自带远程桌面不支持批量命令执行和文件分发，给各地门店的收银终端统一打补丁时只能逐台操作，重复劳动多且容易遗漏。向日葵通过完成在管理后台搭建组织架构创建设备分组和角色、给每个角色分配对应的设备和功能权限将员工加入分组自动继承权限、员工登录企业账号后在自己的权限范围内进行操作同时后台自动记录所有操作日志三个步骤，让不同岗位的人员各司其职，深耕远程控制领域多年的向日葵，其角色授权方案已在企业远程办公、多网点运维、政企IT管控等场景中得到了广泛使用。

FQA

Q：向日葵的角色授权方案，能细化到什么程度？
管理员可以为每个角色分别设置能操作哪些设备、能使用哪些功能。功能级别的授权可以细化到文件传输方向、剪贴板类型、是否允许远程打印和重启关机等。比如财务部的设备只允许部门内员工操作，文件传输只允许从被控端拉到本地，禁止反向传输，权限范围相当灵活。
Q：员工离职或者岗位调动，原来的远程权限怎么处理？
管理员在后台直接解绑账号或修改所属角色即可，操作后该员工的所有远程权限立即失效，不需要一台台设备去手动收回权限。如果是岗位调整，在后台修改人员所属的分组和角色，权限会自动更新为新岗位对应的范围，不需要重新配置。
Q：向日葵企业版支持跟公司现有的办公系统对接吗？
支持。如果公司已经在用企业微信、钉钉或飞书，向日葵可以直接对接，组织架构自动同步，员工用企业账号扫码就能登录，不需要额外注册账号。对接完成后，管理员在后台可以直接看到企业的部门和人员结构，再绑定设备和分配权限就行。