前言
在政企单位、窗口办事大厅、轮班作业的办公环境中，经常会遇到一类典型安全难题：一台计算机多名员工轮换登录使用，人员和设备并不是一一对应关系。
传统终端安全产品普遍采用 "以设备为中心" 的管控模式：安全策略绑定计算机硬件，审计日志记录的也是设备标识。一旦发生文件拷贝、违规打印、资料外发等风险事件，管理员只能定位到是哪一台机器出现问题，却无法确认实际操作人员是谁，安全责任很难落实到人。
同时，当员工调岗、离职、工位轮换时，管理员需要对对应的终端重新调整整套安全策略，设备流转越频繁，运维工作量就越大。
迪康端点安全一体化管理系统提供用户模式，构建「设备 + 用户」双重管控体系，实现策略跟随人员账号，审计日志绑定操作人员，补齐多人共用终端场景的安全短板。
一、传统设备维度管控的核心痛点
在没有启用用户模式的场景下，所有策略均绑定终端设备，会遇到下面几类典型问题：
- 权限继承风险：多人共用同一台终端，前一个高权限用户退出之后，后续登录人员依旧继承该设备整套安全策略，权限边界无法隔离。
- 策略运维成本高：人员岗位发生变动，必须找到该人员使用过的全部终端，逐台修改策略；设备交接，需要重新配置外设、打印、文档等全部管控规则。
- 安全事件溯源困难：审计记录只有设备信息，发生泄密、违规操作，只能知道机器，无法确认操作人员，无法完成责任认定。
- 无法适配流动人员：实习生、临时工作人员使用公用工位，很难单独对临时人员做权限约束。
简单来说：设备是固定的，但使用设备的人是流动的，只管控硬件，很难适配人员频繁变动的真实业务场景。
二、迪康端点安全一体化管理系统用户模式设计思路
用户模式并不是抛弃原有的设备管控，而是在设备管控的基础之上叠加账号维度的管控能力，形成双维度防护。
- 设备策略：负责终端基础基线加固，例如系统安全配置、防火墙、基础外设黑名单，无论谁登录该设备，设备级策略始终生效；
- 用户策略：策略绑定账号，员工登录客户端之后，自动加载分配给自己账号的安全策略；同一台电脑，不同账号登录，执行不一样的权限规则。
优先级说明：当设备策略与用户策略同时存在时，登录用户后优先执行用户策略；未登录桌管账号的终端，只执行设备层面的安全策略，避免管控真空。
启用用户模式之后，平台会独立维护一套用户架构，和终端设备架构并行管理。管理员可以完成账号创建、设置账号有效期、配置账号密码规则等账号全生命周期管理，还可以实现和 Windows 系统账户进行关联绑定，打通操作系统登录体系。
终端侧员工登录专属账号后，终端小助手可用于查看个人账号信息，员工能够自主完成密码修改、账号注销等操作，兼顾安全管控与终端用户使用体验。
三、策略随人走：按人员岗位做差异化安全约束
迪康端点安全一体化管理系统绝大多数安全管控能力，均支持以用户账号作为管控对象，不再局限于绑定计算机设备。
管理员可以按照岗位、人员身份划分权限，实现差异化安全管控：
表格
| 人员角色 | 策略配置示例 |
|---|---|
| 普通办公员工 | U 盘禁止拷贝、限制文档外发、常规打印审计 |
| 涉密岗位员工 | 开启 U 盘申请审批、允许加密 U 盘使用、文档水印全开 |
| 实习生 / 临时人员 | 禁止打印、禁止 U 盘读写、限制敏感文档访问 |
同一台公用办公电脑，不同人员登录，系统会自动加载对应人员的安全规则。普通员工登录执行普通员工权限，涉密岗位人员登录自动切换涉密岗位管控策略，人员退出登录，权限也随之失效，真正做到人走权限变。
U 盘管理、外设管控、打印管控、应用程序黑白名单、文档安全、水印、网站访问控制等能力，都可以依托用户账号下发，满足不同岗位的安全管控诉求。
四、审计溯源：安全行为精准定位到人
启用用户模式之后，系统全量审计日志实现人机绑定。
终端产生的 U 盘操作、文件复制删除、打印、剪切板、网络访问、AI 工具使用等全部日志，会同时记录两类关键信息：
- 终端信息：IP、MAC、计算机名称；
- 用户信息：当前登录的桌管账号、所属部门。
发生安全事件时，安全管理人员可以直接以操作人员账号作为检索条件开展追溯，不再只能依靠计算机设备信息排查问题。即便是多人交替使用同一台公用设备，也可以清晰还原什么人、在什么时间、做了哪些操作，满足等保、保密相关的审计取证要求。
五、适合启用用户模式的业务场景
- 窗口办事大厅：多台公用业务终端，不同轮班人员轮流登录；
- 保密 / 涉密单位：人员设备流转频繁，要求安全责任到人；
- 研发、行政办公区公用工位：外来人员、实习生临时使用办公电脑；
- 实验室、培训机房：一批设备，多个人员轮换上机操作。
注意事项
- 用户模式管控生效前提是客户端完成桌管账号登录，用户未登录时仅执行设备策略；
- 支持对接 AD 域环境，批量同步组织架构与用户账号；
- 用户策略与设备策略协同生效，高优先级规则会覆盖低优先级规则。
六、总结
传统终端安全防护，更多聚焦 "机器" 本身，但真正产生安全风险的往往是使用机器的人。
迪康端点安全一体化管理系统的用户模式，打破单纯以设备为核心的防护思路，实现从「管控设备」升级到「管控人员」。设备基线守住终端底层基础安全，用户账号完成岗位精细化权限控制，审计日志实现责任定位到人。
对于人员流动性大、公用终端多的政企、事业单位，启用用户模式可以有效解决共用设备权限混乱、安全事件无法溯源、策略运维复杂等现实难题，进一步完善终端安全纵深防御体系。