Bài hướng dẫn này giúp người quản trị rà soát, thu hồi hoặc thay mới quyền truy cập máy chủ và hosting khi nhân sự nghỉ việc hoặc không còn phụ trách hệ thống. Thực hiện theo thứ tự dưới đây để hạn chế nguy cơ truy cập trái phép và tránh làm gián đoạn dịch vụ.
1. Lập danh sách quyền cần rà soát
Trước khi thay đổi, ghi lại tài khoản và hệ thống mà nhân sự từng sử dụng. Kiểm tra cả quyền được cấp trực tiếp lẫn quyền dùng chung với nhóm khác.
- Tài khoản quản lý dịch vụ hosting, VPS hoặc máy chủ riêng; bảng điều khiển và tài khoản quản trị được phân quyền.
- Tài khoản SSH, RDP, SFTP, FTP; tên người dùng, khóa SSH, mật khẩu và thông tin đăng nhập lưu trên thiết bị.
- Tài khoản quản trị website, CMS, cơ sở dữ liệu và ứng dụng triển khai trên máy chủ.
- Tài khoản quản lý tên miền, DNS, chứng chỉ SSL, sao lưu, giám sát và email liên quan đến hệ thống.
- Khóa API, token, mật khẩu ứng dụng, thông tin xác thực trong mã nguồn, công cụ triển khai hoặc biến môi trường.
- Tài khoản xác thực nhiều lớp, thiết bị tin cậy, mã khôi phục và các nhóm chia sẻ quyền.
2. Bảo đảm vẫn còn người quản trị thay thế
Xác nhận ít nhất một người có thẩm quyền vẫn đăng nhập và quản lý được từng dịch vụ cần thiết. Kiểm tra phương thức khôi phục tài khoản, email nhận cảnh báo và số điện thoại xác thực vẫn thuộc quyền kiểm soát của doanh nghiệp. Không xóa tài khoản duy nhất có quyền quản trị trước khi cấp và kiểm tra quyền cho người thay thế.
3. Thu hồi quyền của nhân sự nghỉ việc
Vô hiệu hóa hoặc xóa tài khoản cá nhân trên bảng điều khiển, hệ điều hành, website, cơ sở dữ liệu và các công cụ liên quan. Gỡ tài khoản khỏi nhóm quản trị, danh sách cho phép đăng nhập, VPN hoặc quy tắc truy cập từ xa nếu có. Thu hồi khóa SSH, token và phiên đăng nhập đang hoạt động; đăng xuất các thiết bị hoặc phiên từ xa nếu hệ thống hỗ trợ.
Ưu tiên vô hiệu hóa tài khoản cá nhân thay vì xóa ngay nếu cần lưu nhật ký, kiểm tra hoạt động hoặc chuyển giao dữ liệu. Không dùng chung tài khoản quản trị cho nhiều nhân sự, vì sẽ khó xác định ai đã thực hiện thay đổi.