如何在员工离职时撤销 WiFi 访问权限

欢迎阅读关于在员工离职时撤销 WiFi 访问权限的技术简报。 这个问题看起来往往比实际要小。某人在周五离职。他们的经理停用了电子邮件并收回了笔记本电脑。然而，他们的手机或个人设备在周一仍然可以加入 Staff WiFi。在酒店中，这可能会让前员工接近业务系统。在零售物业中，它可能会提供跨多家门店的员工网络访问权限。在体育场或会议中心，这可能会使繁忙的活动日更加难以管理。当务之急的问题不是离职者是否知道密码，而是您的 WiFi 能否将该人员识别为独立的身份，并在不干扰其他所有人的情况下拒绝该身份。 单个共享的 WPA2 密码无法做到这一点。每个人都拥有相同的凭据。一旦该密码与离职者共享，网络就无法清晰地将该离职者与同样知道该密码的每个授权员工区分开来。实际的操作应对是全公司范围内的密码轮换，然后更新每个经批准的设备。这在运营上成本高昂，会产生支持工单，并且经常被延误。对于分布式的场馆物业来说，这并不是一个可靠的当日离职控制手段。 有三种可靠的模式。第一种是针对每个人的带有 EAP-TLS 的 802.1X。第二种是 iPSK，有时被称为个人预共享密钥。第三种是使用 SCIM 的由身份提供商驱动的取消预配。您可以将这些模式结合使用。核心设计选择仍然是相同的：使访问凭据能够归属到个人或受管设备，然后使移除成为一个受控、有记录的事件。 让我们从 802.1X 和 EAP-TLS 开始。IEEE 802.1X 是网络访问控制框架。它将请求加入的设备、网络边缘的身份验证器和后端身份验证服务隔离开来。EAP-TLS 是一种可扩展身份验证协议方法，它使用证书进行双向身份验证和密钥派生。通俗来说，设备证明拥有证书，而网络在同一次身份验证交换中证明其自身身份。 这种模式适用于受管员工设备和高保障网络。离职操作不是更改共享密码，而是停用该身份并撤销、拒绝或以其他方式移除证书的身份验证权限。您的 RADIUS 和证书验证设计必须能够在设备进行身份验证时识别出该更改。不要将证书过期与证书撤销混淆。过期是预定的。撤销是在预定结束日期之前采取的离职操作。时机至关重要。基于证书的 WiFi 访问在身份验证时进行检查。因此，您的实际目标很明确：防止证书在下一次身份验证尝试时成功，并对该结果进行测试。如果员工已有一个活动会话，请单独决定您的策略是否要求断开会话。这是网络运营的选择，不能替代撤销身份。在设计和测试过程中，还要考虑快速重新连接行为和缓存会话。如果您的生产身份验证路径未能按预期验证更改，那么在实验室中看起来正确的设计可能会造成盲区。 EAP-TLS 的操作清单非常简单。首先，确认该人员的身份记录和最后工作时间。其次，禁用源身份。第三，根据您的证书颁发机构和 RADIUS 流程撤销或拒绝相关证书。第四，如果您的策略有此要求，请删除或终止活动会话。第五，使用前员工的托管设备或受控的等效设备尝试进行新的连接。最后，保留请求、更改、结果、时间以及负责的负责人。 第二种模式是 iPSK。与整个员工队伍共享一个密码不同，每个人或设备在同一个员工 WiFi 网络上都拥有一个独特的密钥。这使得删除具有针对性。删除与离职者关联的密钥，确认新的加入尝试失败，并保持所有其他密钥不变。在您有无法使用证书的设备、托管设备计划仍在发展中或需要从单一共享密码进行实际过渡的情况下，iPSK 可以发挥很好的作用。 iPSK 与换了名字的通用员工密码不同。密钥必须与一个身份或设备记录绑定。保存密钥所有者、签发日期、设备或人员关联、网络角色以及删除状态的清单。确保密钥具有足够的特异性，以便可以将删除事件追溯到离职者。如果团队、承包商组或班次重复使用同一个 iPSK，您只是在一个较小的容器中重新制造了共享密钥的问题。 第三种模式是 SCIM 驱动 deprovisioning（自动停用）。SCIM 是一种基于 HTTP 的标准协议，用于跨系统配置和管理身份数据。在良好的入职 - 异动 - 离职流程中，HR 或 IT 会在您的身份提供商中禁用该帐户，禁用状态会流向 WiFi 访问服务，随后的 WiFi 身份验证将被拒绝。Purple 通过 SCIM 将 WiFi 访问与身份提供商绑定。相关的身份提供商包括 Microsoft Entra ID、Okta 和 Google Workspace。其运营优势并非魔法。它是一个单一的事实源：结束雇佣关系的事件同时也启动了 WiFi 权限的移除。 将 SCIM 视为一种控制路径，而非口号。您需要一个唯一标识符来将身份提供商账户映射到 WiFi 访问记录。您需要一个约定的禁用事件。您需要知道当禁用请求失败时，接收服务会产生什么错误。并且您需要一个测试身份来证明您的监控能够捕获该失败。 现在从设计过渡到实施。首先进行访问权限清单整理。列出每个员工 WiFi 网络、其安全模式、身份源、RADIUS 路径（如果存在）、证书颁发机构（如果存在）、iPSK 所有者记录（如果存在）、会话断开功能以及日志目的地。请按场所组进行此操作，而不是作为扁平化的公司列表。酒店、街边零售店和体育场可以在使用不同的运营团队和硬件的同时，共享相同的策略。 接下来，选择能够从离职流程中减少最多手动工作的控制措施。对于托管的企业设备，在您的证书颁发机构、RADIUS 设计和设备管理可以支持的情况下，请使用带有 EAP-TLS 的 802.1X。对于混合资产和无法使用证书的设备，仅当每个密钥都具有唯一所有权且可删除时，才使用 iPSK。对于已经使用 Microsoft Entra ID、Okta 或 Google Workspace 的资产，使用 SCIM 驱动的自动去配，将账户禁用作为删除 WiFi 的触发器。Purple 可以将该身份事件与 WiFi 访问状态连接起来。除非是异常路径，否则不要添加第二个手动工单。 构建一份当日离职操作手册。HR 确认结束时间。身份所有者禁用账户。网络所有者确认相关的证书、iPSK 或 WiFi 访问记录不再有效。运营团队决定是否需要断开活动会话。指定的测试人员执行一次新的身份验证尝试。只有在记录结果后，工单才会关闭。这确实枯燥乏味。但这正是评估员可以重构的部分。 对于 ISO 27001 或 SOC 2 证据，请保留一个虽小但完整的链条：授权的离职请求、身份提供商变更、WiFi 变更、验证结果、时间戳以及每个步骤的所有者。避免收集超出控制所需的个人数据。访问记录可能是个人数据，因此请将其纳入您的保留和访问控制决策中。如果员工 WiFi 会影响支付系统，请与负责 PCI-DSS 的团队讨论范围和隔离，而不是将 WiFi 撤销视为独立的合规性声明。 注意四种失败模式。第一，在被忽略的 SSID 上仍在使用共享密码。第二，WiFi 记录与可变的电子邮件地址相匹配，而不是持久的身份。第三，禁用事件到达了身份提供商，但未到达 WiFi 访问服务。第四，您仅测试了仪表板状态，而没有测试真实的全新加入尝试。如果您对控制进行清单整理、监控和测试，那么每种失败模式都是可以预防的。快速问答。共享的 WPA2 密码可以针对某一个离职人员单独撤销吗？不行。您必须为所有人轮换密码，或者将其替换为基于单个身份的控制。EAP-TLS 访问权限的撤销速度有多快？在下一次身份验证时，前提是您的证书和 RADIUS 验证设计能够识别该撤销。SCIM 会清除活动会话吗？其自身不会。请将会话控制视为一个独立的运营决策。iPSK 适用于所有设备吗？不适用。它是一种实用的、绑定身份的密钥模型，适用于不适合进行证书验证的场景。 下一步是进行简短的设计评估。选择一个员工 WiFi 网络。跟踪一次从 HR 通知到拒绝身份验证的离职流程。找出其中的手动步骤，然后将其消除。WiFi 凭据应该在员工离职时立即失效，而不是等到下一次密码轮换项目时才处理。