Доступы подрядчиков: временные права вместо вечных логинов

Подрядчику часто нужен широкий доступ на короткий срок. После завершения работ он не должен оставаться невидимым администратором.

Выдавайте отдельную учётную запись

Так проще понять, какие действия выполнялись и что нужно отключить после завершения работ.

Перед началом

определите нужные сервисы;
задайте минимальную роль;
установите срок пересмотра доступа;
не передавайте главный аккаунт владельца.

После завершения

Отзовите аккаунт, токены, SSH-ключи, API-ключи и проверьте, не добавлены ли новые резервные контакты или пользователи.

Практическая часть

Проверьте это на своей системе

Цель — не просто включить нужную настройку, а убедиться, что она реально работает в сценарии потери доступа, смены устройства или передачи управления.

01Отдельная роль

Выдавайте подрядчику собственный аккаунт или роль, а не общий пароль администратора.

02Минимум прав

Доступ должен соответствовать задаче и не открывать соседние проекты и финансовые настройки.

03Срок и отзыв

Зафиксируйте дату окончания работ и заранее знайте, где отключить доступ.

Порядок действий

Откройте настройки, связанные с темой «Доступы подрядчиков: временные права вместо вечных логинов», на доверенном устройстве и сначала зафиксируйте текущее состояние.
Пройдите три проверки выше без отключения рабочего доступа: отдельная роль, минимум прав и срок и отзыв.
Если обнаружили зависимость от одного телефона, адреса, сотрудника или устройства, сначала добавьте независимую замену и подтвердите её.
После изменения выполните контрольный вход или восстановление из второго браузера/устройства, не закрывая последнюю рабочую сессию.

Где чаще всего возникает проблема

Подрядчик пользуется личным аккаунтом сотрудника и его действия невозможно отделить.
После завершения проекта токены, VPN и API-ключи остаются рабочими месяцами.

Можно считать готовым: У каждого внешнего исполнителя есть отдельный ограниченный доступ, который можно быстро отозвать без смены общих паролей.