Password访问控制设置指南

在团队协作中，最令人困扰的问题莫过于敏感凭证被未经授权的人员意外查看。1Password的分层访问控制机制，通过精细化的权限管理，明确解决了这一隐患。该机制由保管库级、条目级和会话级三层防护层层递进，确保只有真正需要的人员才能触及关键信息。

在企业环境中，防止非授权人员读取敏感凭证是一项刚性需求。1Password通过保管库级、条目级与会话级三层权限控制，精准地约束了谁能查看、查看什么内容、以及访问权限何时失效。下面逐一进行详细说明。

配置保管库访问策略

保管库是权限管理的第一道防线——所有成员必须显式加入才能查看其中的内容，该策略并非默认开放。

登录1Password Web管理后台，依次点击左侧“组织”→ 选择目标保管库 → 右上角“共享”按钮。在弹出的成员列表里输入邮箱地址，然后下拉选择角色：“查看者”只能读取条目，不能编辑、不能复制密码、也不能导出；“管理员”则可以修改保管库设置，但无法查看其他保管库的内容。

需要特别留意：添加成员后，系统会自动发送邀请邮件，对方必须完成账户绑定并接受邀请，才算真正获得访问权限。仅添加而不激活，将无法获得访问权。

同时，务必勾选“要求多因素认证（MFA）才能访问此保管库”。该选项一旦开启，【未启用MFA的成员将被直接拒绝访问，没有任何绕过的可能性】。

限制单个条目的可见范围

在某些情况下，保管库级别的粒度仍不够细。例如，某条数据库连接密码仅运维组需要查看，财务组完全没有必要知道。此时需要在条目层面进行更精细的控制。

有两种实现方式：
方法一：进入条目详情页，点击右上角“”→ 选择“编辑访问权限”→ 关闭“对保管库内所有成员可见”。
方法二：手动添加指定成员邮箱，为每个人单独设置“可查看”或“可编辑”开关。

执行上述操作后，该条目会从其他成员的搜索结果和保管库列表里彻底消失——即使这些成员拥有同一个保管库的“查看者”身份，也无法再看到该条目。这是1Password零知识架构下的硬隔离：服务端根本不存储未授权用户的解密密钥，从而确保了极高的安全性。

强制执行会话生命周期管控

当员工离职时，仅删除账户并不足够，如果其设备上仍有残留的有效会话，依然可能继续访问凭证。必须切断设备端的本地解密能力。

操作步骤分为三步：
第一步：进入“组织”→“成员”列表，找到目标用户，点击右侧“”→ 选择“撤销所有会话”。
第二步：确认后，该用户所有已登录设备将在下次同步时强制登出，并丢失本地缓存的加密密钥副本。
第三步：如果需要立即阻断（例如设备丢失），可以勾选“同时禁用账户”。注意该操作不可逆，【会同步清除其主密码哈希及恢复密钥副本，用户无法自助恢复】。

经过上述处理，即使离职员工仍保留本地缓存，这些数据也彻底变为乱码。权限的生命周期管理至此才算真正闭合。