中小团队的访问管理，告别共享密码
如果团队维护着共享的测试、预发或小型生产环境，大概率共享过 root 密码。WingGate 用显式、可审计、可撤销的按成员授权取代这个习惯。
小团队都会撞上的三个问题
这些问题不需要大组织才会出现——三个人加一台共享服务器就足够了。
共享凭据
一个 root 或 admin 密码贴在群聊里。没人说得清上一次是谁用的，轮换一次还得挨个通知。
离职回收难
有人离开时，诚实的选项只有两个：轮换所有共享 secret，或者寄希望于没有残留。两个都很糟。
出事没有证据
凌晨两点出了问题。共享登录之下，无法可靠回答谁连过哪台机器、做了什么。
解决这些问题的授权模型
WingGate 让访问显式授予，而不是默认隐含。这条链有三环，每一环都有明确的责任人：
-
组织——团队的边界
资产、成员和审计历史都在组织内。Owner 邀请成员；成员身份本身不会授予任何资产的访问权。
-
项目——圈定一组资产
项目圈定被授权成员可以使用的资产。按环境或按团队各建一个；成员只能看到被授予的项目。
-
项目访问授权——按成员、按范围
授权把成员绑定到某个项目的全数据面。撤销授权会同时收回 Web 终端、SSH、文件和 MCP。
每种访问方式的权限集是固定的。grant 对该项目是全有或全无；更细的 MCP 限制来自项目/资产 MCP 配置。
成员无法浏览整个资产清单，只看到授权覆盖的项目和资产。这让日常访问保持聚焦，也缩小了账号失陷后的影响面。
成员生命周期中实际发生的事
同一条授权链回答了共享凭据最痛的三个时刻。
加入
Owner 把人邀请进组织——对方在账号的 Invites 区域接受——然后授予其角色所需的项目。他的第一次连接就已归属到本人，onboarding 中完成 MFA 绑定。
换岗
在团队之间调动是改授权，不是轮换凭据：撤销旧项目的授权，签发新授权。进行中的会话会按当前授权重新检查。
离职
撤销该成员的授权，下一次鉴权检查立即失败——没有共享 secret 需要轮换，也没有残留访问要排查。他历史上的审计条目仍然归属本人。
审计与问责
每一次授权决策和会话都会在组织的审计视图中留下记录，问责不依赖记忆。
- 认证事件、授权变更、会话的创建与结束都带操作者身份——谁连接过从不含糊。
- 文件和 MCP 操作在同一条审计轨迹中，事故复盘时可以还原发生了什么。
- 撤销在下一次鉴权检查时生效；活跃会话可以被撤销，底层连接随之断开。