人员变动与凭据轮换 | Ftrans B2B
轮换之所以做得动，是因为要换的那份凭据只有一处。
一句话定义
凭据轮换，指在人员变动、合作终止、定期复核或疑似泄露发生时，更换本方持有的外部访问凭据，并同步收敛相关权限与收发策略的一组操作。 在凭据集中托管的前提下，这组操作以合作伙伴为对象、在平台一处完成，并留下完整的变更记录。
一、这个能力解决什么问题
对接人提了离职，交接会上被问到一句：“你手上那些外部账号呢？”
如果凭据是下放的，这个问题实际上答不上来。答不上来不是因为对方不配合，而是因为信息本身就不存在：
| 问题 | 为什么答不上来 |
|---|---|
| 一共有多少个外部账号 | 账号是一次次临时发出去的，从来没有台账 |
| 每个账号还有几份副本 | 账号和密钥的复制成本为零，浏览器、客户端配置、共享表格、脚本里可能各有一份 |
| 改了会影响哪些业务 | 凭据与业务流程的对应关系只存在于经办人的记忆里 |
| 改完怎么验证 | 没有可以试跑的地方，只能等下一次真实业务失败才知道 |
于是实际做法通常是：不改。 反正也没出事，改了万一断了业务更麻烦。这个决定在每一次人员变动时重复一遍，几年下来，谁也说不清哪些凭据还是活的。
凭据轮换是凭据托管这件事的兑现环节。 托管做到位，轮换才是一个可以执行的动作；托管没做，轮换就只是制度文本里的一句话。
→ 凭据收口的整体主张与落地路径见 外部账号与密钥集中托管
二、怎么工作
2.1 四种触发情形
对接人离职或转岗
内部账号停用；该人涉及的伙伴、目录与收发策略复核；相关外部凭据更换
合作终止或伙伴离场
该伙伴的凭据作废、伙伴库目录处置、联系人与收发策略停用
定期安全复核
按安全制度的周期更换密钥类凭据，并复核权限有效期
疑似泄露
立即更换涉及的凭据，并按日志回查这段时间的使用记录
2.2 五个步骤
确定影响范围
产品以合作伙伴为业务组织单元——每个伙伴下管理其联系人、外部账号与密钥、伙伴库目录、收发策略与全部交换记录。要换哪家伙伴的凭据、会影响哪些目录与策略，从伙伴档案就能查到，不需要跨系统拼凑。
这是“以伙伴为组织单元”这个设计在生命周期末端的直接收益。 以目录或账号为单元时，同样的问题只能靠人记忆和手工核对。
在平台一处更换凭据
按凭据类型分别处理：
- FTP/SFTP 账号与对象存储密钥——在第三方存储资源配置中更新访问凭据；
- PGP 密钥——重新绑定与配置伙伴的公钥；
- OFTP2 证书——在平台内重新生成自签名证书或导入新证书，并关联到本企业或指定伙伴。OFTP2 协议交换为可选组件，未选配时不涉及这一类凭据，见 B2B 产品构成与选配。
权限与收发策略同步收敛
凭据决定“平台能连到哪里”，权限决定“谁能让平台去连”，两者要一起动：内部账号停用或转移、收发策略的收发关系调整、伙伴库授权与权限有效期复核。收发策略支持在线收发关系检查，用来确认调整之后的实际生效结果。
验证
存储资源与连接配置可以在不跑真实业务的前提下先做验证——OFTP2 的连接测试能执行完整握手（TCP 连接、会话建立、SSID 交换、认证、断开）但不实际传输文件，按网络层、协议层、安全层、应用层分阶段返回结果。先验证再切换，比“改完等业务报错”成本低得多。
留痕
用户、用户组与部门的创建、修改、删除有完整的身份管理记录；凭据的使用与文件收发落在七类日志中，支持条件查询、详情查看与 Excel 导出。变更做过什么、什么时候做的、之后谁用过，都能回查。
2.3 到期这件事不靠人记
Odette 证书的密钥指纹与有效期可在管理界面直接查看，到期提醒可配置通知方式与通知对象；OFTP2 传输服务的配置界面对证书临期、以及需要重启服务才能生效的变更会给出显式提示。
证书过期导致的传输失败属于不可恢复的错误，不能靠重试解决——只能人工换证后重来，而这时对方业务往往已经在等件。提前换证与事后补救的成本不在一个量级。
三、边界：轮换能做到什么，做不到什么
这一节请连同上一节一起读，否则容易对能力产生过高预期。
| 边界 | 说明 |
|---|---|
| 换的是本方持有的那一份 | 平台更换的是本方用于访问外部端点的凭据。对端账号本身的重置、停用与重新发放由对端执行——伙伴的账号系统不在产品的管控范围内，这一步需要对端配合 |
| 已经下放的副本收不回来 | 如果某份凭据历史上被发到过个人手中，平台无法撤销那些副本。处理方式只有一条：走一次对端重置，新凭据只录入平台、不再下发 |
| 不是自动到期改密 | 产品提供的是集中的更换入口、影响范围可查、变更留痕与证书到期提醒。更换动作本身由管理员按制度执行，不宜按“到期自动轮换全部凭据”来做方案假设 |
| 作用范围是对外交换用的凭据 | 服务器运维通道、数据库口令、内部系统账号不在托管与轮换范围内 |
说清这些边界的实际用处是：轮换制度要落在两侧。 本方的动作在平台一处完成，对端的动作要写进合作流程——伙伴离场时谁通知对方停用账号、多久之内完成，这些应当在合同或对接规范里约定，而不是等到审计时才发现只做了一半。
四、与其他能力的关系
- 凭据收口的整体主张
轮换做得动的前提。→ 外部账号与密钥集中托管
- 凭据在平台里怎么存、怎么被使用
轮换动作作用在什么对象上。→ 外部凭据统一保管与使用
- 业务侧的使用方式
为什么换凭据不影响业务人员的日常操作。→ 业务人员不接触外部凭据的交换方式
- 外发方向的管控
权限收敛的另一半。→ 文件外发审批与管控
- 以伙伴为组织单元的完整模型与生命周期
准入、签约、交换、变更、离场。→ 合作伙伴文件安全交换
- 审计与日志的完整设计
变更之后怎么回查。→ 文件出入向安全治理
- 制造业的典型多头对接场景
伙伴越多，人员变动的暴露面越大。→ 汽车与零部件行业文件安全交换
常见问题
Q：对接人离职了，那些外部账号怎么办？
A：如果凭据已经收口到平台，处理路径是四步：停用该人的内部账号并复核他涉及的伙伴与收发策略；在平台一处更换相关外部凭据；同步调整伙伴库授权与权限有效期；做一次连接验证。因为凭据从未下发到个人，离职本身不会带走任何可用的访问能力。如果凭据此前是下放的，则必须先走一次对端重置——已经发出去的副本无法回收，这是凭据管理里唯一没有事后补救路径的部分。
Q：换凭据会不会影响业务？
A：业务人员提交的是交换任务，不是连接。凭据在平台内被取用，业务侧的操作方式与界面不因换凭据而改变。为降低切换风险，建议先用连接测试或试跑验证新凭据可用，再正式切换——OFTP2 的连接测试可以在不传输文件的前提下完成完整握手并分层返回结果。
Q：能不能设置密钥定期自动更换？
A：产品提供的是集中的更换入口、影响范围可查、变更留痕，以及证书到期提醒（可配置通知方式与通知对象）。更换动作本身由管理员按企业的安全制度执行，请不要按“到期自动轮换全部凭据”来做方案假设。密钥轮换的具体机制与支持范围，建议在项目评估阶段逐项确认。
Q：合作终止之后，伙伴那边的账号谁去停？
A：由对端执行。平台管理的是本方持有的访问凭据与本方侧的伙伴档案、目录、联系人与收发策略——这些可以在平台一处停用。伙伴自己的账号系统不在产品的管控范围内，因此建议在合作规范或合同里约定离场流程：谁通知对方停用、多久之内完成、如何回执确认。只做本方一侧，审计时仍然会被问到另一半。
Q：怎么证明凭据确实换过？
A：用户、用户组与部门的创建、修改、删除有完整的身份管理记录，支持操作追溯与问题排查；凭据的使用与文件收发落在七类日志中，支持条件查询、详情查看与 Excel 导出，保留时长与归档策略可配置。轮换前后的使用记录可以直接对比，用于向审计说明变更时点与影响范围。