网站管理员离职时，需要回收的是全部访问能力，而不只是后台密码。处理范围包括登录账号、会话、API令牌、SSH密钥、云平台、域名、数据库和发布工具。

在交接前建立账号清单

记录账号所属系统、权限、负责人、恢复方式和关联的自动任务。区分个人账号与服务账号，确认离职人员是否知道共享凭据。

确认域名注册、证书、云服务与备份的联系方式由企业掌握。企业应保有自己的管理员和账单入口，不依赖离职人员的个人手机或邮箱。

停用身份并撤销已有访问

按离职生效时间停用人员账号，撤销有效会话、刷新令牌、SSH密钥和发布权限。仅修改密码可能无法让既有会话立即失效。

轮换离职人员接触过的共享密码和密钥。更新使用这些凭据的应用和自动任务，逐项验证部署、备份和接口没有因轮换而中断。

检查交接结果和异常活动

核对近期管理员操作、异常登录、未知账号、定时任务和新增访问密钥。发现可疑活动应保留证据并按事件响应流程处理。

用继任人员身份完成登录、发布和恢复演练，确认接管有效。账号回收记录需要写明执行时间、完成项目、待办项和责任人。

参考资料

账号生命周期覆盖非人员凭据

新建、转岗、临时授权和离职都记录审批与范围，自动任务和第三方token同样管理。

撤权后测试活跃会话与任务，避免账号停用但API密钥仍可操作。

例如员工账号已删但关联API凭据未撤，生命周期管理还不完整，需要核对全部授权方式。