当人员和软件变化时，保持访问权限的审慎管理。

分离三种访问权限

在我们的示例工作坊 wiki 中，成员编写说明，笔记本协调员管理应用程序账户，主机维护人员操作服务器。一个人可能承担多项职责，但权限应保持明确。下面的工作表描述该组的预期政策；应用程序设置仍需配置和检查。

技术管理员可能能够访问底层数据。将该责任保留在小组的信任决策中，而不是承诺对控制主机的人保密。

给新成员一个经过检查的小型起始角色

在发送邀请前，商定成员需要哪些书籍，以及他们是否应编辑、导出或管理任何内容。在支持的情况下创建个人账户。解释预期范围以及如何请求更改；避免将管理作为缺少权限的默认解决方案。

对于 BookStack，多个分配的角色可以合并其权限，内容级覆盖会影响访问。审查完整的角色集和相关内容规则。仅检查角色名称是不够的。 BookStack 角色和内容权限规则.

1. 分配预期角色并记录其所有者和审查触发器。
2. 使用代表性的非管理员账户检查允许的任务。
3. 检查应失败的任务，例如编辑只读书籍。
4. 确认受限书籍及其本地文件附件仍不可用。
5. 记录任何例外以及谁批准了它。

将恢复材料存储在约定的凭据存储中。访问笔记本保存检索引用，而不是密码、令牌或私钥。

单独检查嵌入图像：BookStack 图像默认是公开的，而本地文件附件使用其权限控制。难以猜测的 URL 不是访问控制。 BookStack 图像安全。对于意图保密的图像，在注销状态下测试其直接 URL，然后使用无法查看其源页面的成员测试；在该政策下，两者都不应获得它。

local_secure 需要登录但不强制执行页面权限； local_secure_restricted 检查对上传图像所属项目的访问。在更改存储之前，审查文档化的性能、复制页面和迁移限制。现有上传需要文档化的迁移，而不仅仅是更改设置。 BookStack 存储选项和迁移.

在关闭账户之前先完成交接

当维护人员离开时，识别所有依赖其身份的内容：应用程序所有权、主机密钥、域管理、备份访问、集成和恢复联系人。将责任转移给授权的替代人员，并检查替代人员能否检索操作说明。

移除不需要的应用程序角色，并通过每个系统支持的控制撤销主机或服务访问。将活动会话、令牌和共享凭据作为单独项目审查；不要假设禁用一个登录会撤销所有机制。如果共享凭据已暴露给离职人员，安排其更换并审慎更新使用该凭据的服务。

根据小组的政策和应用程序行为保留内容或归属。账户移除不应成为对共享工作的未经审查删除。最后进行禁止访问检查并更新 服务清单.

在更新之前写好回退决策

记录已安装版本、目标版本和更改原因。阅读特定版本的说明，包括中间的迁移和运行时要求。BookStack 文档化的更新过程可能会更改依赖项和数据库，并且要求先备份数据库和上传内容。 BookStack 更新指南.

从这一依赖关系可以得出一个实用的恢复规则：不要以为替换旧应用程序文件就能撤销数据库迁移。列出你会恢复的兼容应用程序、配置和数据集。确定谁可以叫停变更、必须在何时做出该决定，以及恢复点之后接受的编辑会如何处理。

1. 确认备份的身份和相关的恢复流程。
2. 在条件允许时，于隔离副本上演练重大变更。
3. 约定一个编辑暂停或维护窗口，并通知受影响的成员。
4. 按实际安装方式应用文档记录的更新。
5. 检查登录、阅读、编辑、附件、受限内容和已配置的任务。
6. 检查完成后恢复正常使用，或按文档记录的恢复决策执行。

如果更新失败，保留错误证据和当前状态。避免在部分完成的迁移之上叠加无关的修复。使用应用程序文档和记录的恢复点来选择下一步操作。

更改主机访问权限时保留可用的路径

主机访问变更值得单独检查。保持当前已授权的 SSH 会话打开，并在移除现有身份验证途径之前确认新的基于密钥的登录。了解如果新连接失败，已授权维护者将如何重新获得访问权限。

在 Ubuntu OpenSSH 服务器上，文档记录的配置验证命令是 sudo sshd -t。OpenSSH 还记录了 sshd -T 用于查看生效设置和连接参数，使用 -C 来评估匹配规则。这些检查会检查配置；它们不能证明通过网络成功建立连接。 Ubuntu OpenSSH 配置检查; OpenSSH 服务器测试选项.

使用已安装发行版对应的服务控制和配置路径。在应用变更之前解决验证错误。之后，打开第二个独立连接并验证维护所需的权限。只有在该检查成功后，才关闭保留的会话。这是一个需要根据实际情况调整的变更流程，并不表示此处已测试过任何服务器访问。

保持说明简短以便更新

Service / responsible maintainer / cover:
Account or change being reviewed:
Purpose / permitted tasks / forbidden tasks:
Current version / target version, if relevant:
Credential reference / recovery access reference:
Backup identifier / return decision:
Member notice or editing pause:
Checks performed / actual result:
Unresolved issue / action owner:
Next review trigger:

选择小组能够持续执行的审查节奏，并将安全通告、成员变更或备份失败视为提前行动的理由。将操作系统、应用程序和集成维护作为独立职责保持可见。在发生重大变更后重新查看 恢复演练 ，并在小组变更谁应访问服务时使用 公共服务和私有服务指南 。