商定交接窗口和负责人
确认谁有权批准转移和撤销访问权限。明确客户账户所有者、即将离职的承包商、接替操作员以及可在访问中断时提供帮助的人员。商定截止时间、重叠期间的允许变更以及完成前所需的证据。
准备当前项目清单、商定的工作范围，并确保可访问客户的安全凭据系统。在移除即将离职的操作员之前，确定账户恢复的工作方式。如果交接是在疑似安全事件之后进行，事件响应负责人应决定遏制时机；正常的重叠顺序可能不适用。
将所有权与登录访问分开盘点
列出每项服务的账户所有者、当前操作员、自动化身份、恢复负责人以及所需的转移操作。管理员登录并不能确定谁控制账单或恢复。仅记录凭据引用或公钥指纹；切勿将密码、令牌、私钥或恢复代码放入此登记表。
水平滚动以查看所有表格列。
| 项目资产 | 所有权问题 | 完成证据 |
|---|---|---|
| 域名和 DNS | 谁控制注册商、续费和恢复联系人？ | 所有者确认访问权限和当前记录。 |
| 托管和服务器 | 谁控制账户、控制台和特权用户？ | 接替者独立验证必要的访问权限。 |
| 仓库和部署 | 谁拥有仓库、自动化和部署凭据？ | 已批准的版本部署到隔离目标环境。 |
| 应用程序和集成 | 谁管理 CMS、邮件、API 和计划任务？ | 已记录角色和集成检查。 |
| 备份和恢复 | 谁控制备份存储和任何所需的解密材料？ | 接替者完成隔离的恢复演练。 |
转移所有权和运营知识
使用服务支持的转移或邀请机制，然后让接收方所有者从自己的账户验证控制权。避免将承包商的个人身份用作共享登录。如果之前由个人账户提供项目凭据，请通过经批准的安全系统重新签发。
对于 GitHub 仓库，转移会保留关联的机密、部署密钥和 webhook，现有协作者可以继续保留。转移后请明确审核这些内容。转移回执证明所有权变更，而非访问权限移除完成。
提供版本引用、运行时版本、配置位置、计划任务、外部依赖、备份范围和恢复流程。添加已知故障和下一项维护任务。说明从何处安全获取凭据，而不要将其值复制到文档中。
让接替者执行工作
要求接替者按照书面流程操作，而不要借用承包商的会话。他们应获取经批准的源代码、部署到隔离测试目标环境、找到有用的日志并演示允许的应用程序管理任务。记录每个缺失的步骤，然后更新说明并重复受影响的相关检查。
让他们将商定的备份恢复到单独的测试目标环境，同时禁用或重定向出站集成。检查代表性记录、上传内容和应用程序行为。记录备份标识符、目标环境、耗时和未解决的差距。请勿覆盖生产环境来演示恢复，也不要将备份任务成功视为恢复测试已完成。
从所有途径移除离职方的访问权限
在验证替换访问和恢复后，将承包商从相关团队、仓库、托管账户和应用程序角色中移除。审查活动会话并撤销其可能保留的项目令牌、集成和凭据。对于共享凭据，签发其替代品，更新依赖服务并在停用旧值前进行测试。撤销后重复替换者的任务，以捕捉对旧凭据的隐藏依赖。
当创建者从仓库中移除后，GitHub 部署密钥仍然有效。单独检查它们，包括写入权限和使用每个密钥的机器。对于已授权的 OAuth 应用，账户所有者应审查应用列表并使用 GitHub 的控制功能撤销过时的授权。
对于 SSH 访问，识别实际的公钥授权配置。OpenSSH 文档说明 AuthorizedKeysFile 选择用于公钥认证的文件；不要假设每台服务器都使用一个默认文件。在关闭维护会话之前，保留已验证的恢复路径并测试替换者的新连接和所需权限。
示例：仓库已迁移，但部署未完成
在这个虚构场景中，Cedar Workshop 更换了其网站承包商。仓库到达客户组织，但部署作业仍使用离职承包商拥有的凭据。替换者可以编辑代码，但无法发布已批准的构建。交接仍未完成。
所有者安排一个项目控制的部署凭据，具有该作业所需的权限。替换者在测试目标上验证部署和恢复。团队随后停用旧凭据，审查剩余的部署密钥并重新运行允许的检查。关闭记录链接到这些结果，但不包含凭据值。
以证据和明确的所有权收尾
记录接受交接的所有者、每个已撤销的访问引用、完成时间、替换者测试结果和未决例外。确认谁将对下一个计划作业失败、域名续期和维护任务采取行动。根据现有协议，商定如何处理临时测试数据和承包商持有的项目副本。
访问移除无法证明历史副本从未被保留。恢复演练证明了测试的场景，而非所有故障模式。保持这些边界可见，并将未解决的工作带入运营责任记录，注明负责人和截止日期。
来源与审查
技术参考资料已于 2024 年 9 月 12 核查。2026 示例为规划演练；所引用的软件文档并不确立 PrivateHostLab 的服务能力。