大型组织账号安全与万人群成员管控
组织越大，账号被滥用的机会越多。一个人离职没回收、一个外部账号混进大群、一台旧手机还在登录——这些问题在几百人时靠人盯得住，到万人规模就必须靠机制。
这一页讲 Ant Messenger 在账号、群成员、设备三个层面的管控方式，以及在加密方面你实际能依赖什么。
账号：从入职到离职的闭环
账号可以本地创建，也可以对接已有的目录服务。对接之后，入职与离职只在目录侧操作一次：新人自动获得组织归属，离职人员停用后客户端立即无法登录，不需要在聊天系统里再点一遍。
管理员按层级划分。超级管理员负责全局与账号生命周期，部门管理员只管理本部门成员与群组。权限分开之后，日常运维不必集中在一两个人身上，也降低了单点被滥用的风险。
群成员：十万人群里也要有边界
单群上限 10 万人，群消息经 TLS 加密传输。规模一大，成员管理就从“拉人踢人”变成了权限设计：
- 入群是否需要审批，可由群主设定。
- 成员名单是否对普通成员可见，可单独控制。
- 外部联系人与内部成员分开展示，避免通讯录外泄。
- 管理员可按部门批量调整成员，调整记录留痕。
这些开关的意义在于：大群不等于大喇叭，该沉默的信息可以沉默。
设备：五台上限与异常提醒
并发上限
每账号最多 5 台设备同时在线，超出需先下线一台。
异地提醒
新地点登录触发提醒，可在设备清单中确认或下线。
扫码登录
桌面端由手机端授权，不保存独立密码。
应用锁
打开应用需额外验证，减少设备被他人临时使用的风险。
加密：能依赖的与不能依赖的
会话消息采用端到端加密，加解密发生在会话两端，中间环节不接触明文。基于这一层，阅后即焚与双向删除是可用的：消息被查看后可以销毁，也可以让双方记录同时消失。防截屏用于降低对话被截图外传的可能。
需要说明的是，加密保护的是消息内容，不替代账号管理。一个被共享的账号，加密也救不回来——这也是我们把设备与账号管控放在同一页的原因。
组织安全管理中的疑问
员工离职当天能立刻断开吗？
能。在目录侧停用后，客户端随即无法登录；如需更彻底，可同时远程下线其设备。
部门管理员能看到员工的聊天内容吗？
默认不能。管理员管理的是成员与群组关系，会话内容受端到端加密保护。
大群里怎么防止外部人员混入？
开启入群审批，并让外部联系人与内部组织架构分开，可显著减少这种情况。
设备丢了怎么办？
在设备清单中远程下线该设备，必要时修改登录凭据；后续登录仍需手机端验证。