结论先说：入职第一天配文档权限，别按“这个人需要什么”逐项开，要按“这个岗位属于哪一组、这一组默认给哪一档”一次配到位。漏配和给多了看着是两个毛病，根因是同一个：按人配。每来一个新人重判一遍，判慢了就漏，判松了就多。把默认值前移到基线，当天只剩三个动作，第一周只剩一件事验证。
下面分三段：入职前把基线写成一页，当天只做三件事，第一周用新人账号验收。产品动作以石墨办公套件私有部署的公开能力为限，字段以部署版本为准。
一、漏配和给多，是同一套流程的两个出口
两种做法摆在一起，差别不在细心程度，在授权对象。
| 维度 | 按人逐项配 | 按岗位基线加角色组 |
|---|---|---|
| 授权对象 | 具体某个人 | 部门角色组、空间成员 |
| 判断依据 | 上一任清单、口头要求 | 基线卡：谁批、给到哪档 |
| 新人到岗速度 | 等管理员逐项开通 | 加进组即继承组范围 |
| 典型失效 | 少开一项，当天干不了活 | 组给宽了，整组一起过宽 |
| 复核方式 | 只能凭经手人的记忆 | 对照基线卡与成员名单 |
二、入职前：把岗位基线写成一页
基线卡不用做成制度文件，一页纸、五件事即可。
- 岗位与空间。日常在哪个团队空间、哪个知识库目录工作。
- 默认能力档。只读、可评论、可编辑选一档，不写“看情况”。
- 是否需要带走。这一栏决定下不下发下载与导出；下载、导出、打印属文件高级权限里的独立开关，具体以部署版本为准。
- 例外与到期。超默认部分逐条写原因、批准人和失效时间。
- 批准人、执行人与复核点。谁批、谁点、满一个月谁看，都写名字。
这套思路在身份治理里叫“初始访问权限”（birthright access）：按部门、岗位等属性预定义基础权限，让新人到岗即可用。公开资料称其“只提供完成当前工作所必须的最小权限”，可当参考；平台能自动到什么程度，要看它的组织架构同步与角色配置能力。
三、入职当天：只做三件事
当天最耗时的是有人替新人设想“他以后会用到”。做完三步就停，其余留到第一周。
- 先进组织，不是先进文件。把账号加进正确的部门与角色组；接了 SSO 或 LDAP/AD 同步的，先确认“人已在正确部门下”。人进错部门，后面所有继承都会错。
- 按基线授权，档位一次定到位。权限授给组，个人只作例外并记录原因与到期；先确认组这一层给对了，再调文件那一层，只动一边常看不到变化。
- 当天不碰第三条通道。分享链接与外部协作独立于成员权限，默认不开；确实要用的单独登记范围、有效期与批准人，别把“企业内可访问”的链接当资料包发出去。
新人第一天通常只是看资料、填表、改文档，额外权限第一周提反而更准。谁来提，建议固定成“部门负责人按基线卡提，管理员执行，例外由安全复核”。
四、第一周验收：用新人的账号做一次真实任务
配置页面显示成功，不等于新人看到的就是你想的。验收要换他的账号做真实工作。
| 验收项 | 怎么做 | 通过标准 |
|---|---|---|
| 该进的进得去 | 找部门空间，搜最近一期模板 | 能找到、能打开、能完成默认动作 |
| 不该进的进不去 | 用同一账号打开薪酬、合同空间并搜索 | 打不开，搜索也不出现 |
| 档位对得上 | 按基线卡走一遍第一周真实任务：填一张表、交一份周报、改一份共享文档 | 只有基线允许的动作能完成，卡住时能说清缺哪一项 |
| 通道无残留 | 查有效链接、外部成员、前任遗留授权 | 没有不属于该岗位的入口 |
| 证据留得下 | 记录账号、时间、入口与结果 | 可复核，不是设置成功截图 |
五、“给多了”怎么发现，边界在哪，落到哪层能力上
过度授权更像慢慢积累：例外忘了回收，转岗没退旧组。
- 来源说不清。挑一条授权，问“按哪条基线、谁批的”。答不出来就该进回收清单。
- 长期没用。业界常把长期未用的授权视为休眠权限，微软公开培训材料以“90 天内无身份验证活动”为识别口径之一。这个数字可借来自检，但属外部参考，不是产品功能承诺。
- 只增不减。拿当前所在组对比基线卡：调岗后旧空间还在、项目组还在，都属此列。
做法上把复核挂到本来就会发生的节点：新人满一个月抽一次账号；转岗与离职各有各的时点，那两条线的验收步骤不在本篇展开。操作记录可作查证依据，字段以部署版本为准。
边界要说清：这些设置都在组织、成员、角色、空间与文件这一层，管的是“新人能进哪些地方、能动手做什么”；一行数据给谁看，不在这一层解决。要做行级隔离，只能在业务系统侧做数据过滤，或把表格按客户拆文件、按项目建空间；产品是否支持，以方案确认结果为准。
落到产品上，入职这一步只用到三项能力：把人放进组织与角色、按角色组管权限、用 SSO 与 LDAP/AD 把身份和组织架构接进来；水印、外链与操作审计属于内容侧，不在入职这一段展开。
工具只能承接流程里定下来的部分：基线卡谁维护、例外谁批、满一个月谁复核，不写清楚，再细的设置也会变成一团。想看组织与角色的配置方式，可对照办公套件私有部署的产品能力与统一身份与登录集成方案；要把权限与审计写进制度，可参考数据安全与合规方案。
常见问题
入职权限应该由谁申请？
建议由用人部门负责人按基线卡提出，管理员执行，超基线例外由安全复核。别让新人自己点申请：他不知道有哪些系统，也不知道给到哪一档。
能不能按角色自动带权限？
权限授给角色组、再把人加进组，能减少逐人配置；组织架构同步能减少手工开户漏人。但“进部门就自动获得整套文件权限”这种全自动基线，取决于同步范围与角色配置的配合，需与方案团队确认。
给多了怎么发现？
看来源说不清、长期没人用、只增不减三个信号。最有效的不是全量盘查，而是新人满一个月时抽一个账号核一遍，用当事人账号实际打开，并确认继承来的旧授权是否一并收回。
入职当天要不要直接给下载权限？
按基线卡定，不默认全给。基线卡“需要带走”那一栏没写的，第一周按需要补；下载、导出、打印的开关属文件高级权限，具体以部署版本为准。
想在自己环境跑一遍“入职到第一周验收”，可以带一份基线卡和两三个测试账号预约演示，把组织架构与角色组配置核对清楚。也可以先看私有化部署方案，了解部署形态与交付范围。