账号密码通过以后还要校验什么？企业IM终端准入的三层判断
做企业内部系统时，有一个很容易被忽略的问题：
账号和密码都对，是不是就应该允许登录？
对企业即时通讯系统来说，身份验证通过，并不等于当前终端就应该获得访问权限。
比如一个员工拿着自己的账号密码，在家里的个人电脑上登录公司内部即时通讯系统。账号是真实的，密码也是正确的，但这台电脑从来没有经过企业授权，访问的网络也不在企业允许范围内。
这次登录到底算不算合法？
从身份认证角度看，它可能已经通过；从企业终端准入角度看，检查其实才刚开始。
企业IM的终端准入，至少要把身份、网络和设备分开判断，客户端类型和持续授权则是后续还要处理的控制条件。
登录企业IM，其实是在回答三个不同的问题
一次企业IM登录，可以先拆成三个问题：
是谁？
从哪里来？
用什么设备来？
账号、密码、LDAP、AD、单点登录这些机制，主要解决第一个问题：确认当前登录人与企业账号之间的关系。
但账号是真实的，不代表任何网络都应该允许访问；网络在企业办公网里，也不意味着随便一台个人电脑就应该直接进入内部通信系统。
这三件事看起来都发生在“登录”这个动作里，实际对应的是不同的安全边界。
身份认证解决的是“这个人是谁”，网络策略解决“这次连接从哪里来”，设备管理则进一步判断“是不是允许的那台设备”。
企业规模越大，这几个判断越不适合混在一起。
IP白名单先解决网络来源
假设企业的IM服务部署在自己的机房或私有云里，有些员工只能在办公网使用，有些分支机构通过专线访问，还有一部分人员允许从特定外部网络接入。
这时候，账号权限本身解决不了网络边界。
比较直接的办法，是在登录链路中增加来源判断。例如只有来自指定IP或网段的访问，才允许继续进入系统。
同一个账号，在公司办公网登录可以通过；换到一个不允许的网络环境，即使账号密码完全一样，也可能被拒绝。
但IP白名单只能回答一个问题：
这次连接是不是来自允许的网络。
它并不知道当前使用的是不是企业授权设备。
两个人坐在同一个办公室、使用同一个网段，其中一台是公司的受控电脑，另一台是员工自己的笔记本。从IP角度看，两台机器可能没有区别。
所以网络来源只能解决终端准入的一层问题。
小天互连目前公开的终端管理能力，就是把这类网络规则与设备码、客户端权限等条件组合起来使用，而不是只依赖账号密码完成登录判断。
网络没问题，还得知道“是不是这台设备”
还是刚才的场景。
员工人在办公室，账号正确，IP也来自办公网，但他临时换了一台没有登记过的电脑登录。
如果系统只检查账号和IP，这次登录可能完全正常。
但在研发、制造、金融，或者内部数据比较敏感的场景里，企业往往还希望继续确认：
当前发起登录的，到底是不是允许使用企业IM的那台设备？
这时就会涉及设备标识和设备绑定。
常见做法是，终端首次纳管或授权后，把账号与设备身份建立关联。后续登录除了验证账号，还要继续检查当前设备是否在允许范围内。
这和“一个账号最多登录几台设备”并不是同一个问题。
限制设备数量解决的是并发登录规模；设备绑定关注的是到底允许哪几台设备登录。
对于设备遗失、个人电脑接入、固定工位终端这些场景，后一个问题往往更关键。
到这里还没结束：同一个账号未必能用所有客户端
企业IM通常不只有一个入口。
同一个员工可能同时面对Windows客户端、手机端、Web端、国产桌面端等不同终端。
但企业未必希望所有人员都拥有完全相同的客户端权限。
比如有些岗位允许PC端使用，但不希望开放Web登录；有些人员需要移动办公；某些生产终端只允许使用指定客户端；还有一些受控网络，本身就不应该开放全部终端形式。
如果这些规则全部塞进账号本身，人数一多以后维护会很麻烦。
更合理的方式，是把“这个账号是谁”和“这个账号允许通过哪些客户端访问”拆开管理。
小天互连目前已经把客户端权限组作为独立的管理能力之一，可以和账号、网络、设备等条件组合使用。
到了这一层，一次登录就不再只是：
用户名和密码正确 → 创建会话
更接近：
账号状态有效 → 网络来源符合要求 → 设备经过授权 → 当前客户端允许使用 → 建立登录会话。
这条链路里，不同企业可以根据自己的网络和终端管理要求选择不同的组合。
为什么不能把所有规则都写在账号上
人数少的时候，给每个账号单独配置允许IP、允许设备和允许客户端，当然也能用。
真正麻烦的是组织规模上来以后。
假设研发部门几百人执行相同终端策略，就没必要给每个账号重复配置一遍；外协人员可能又是一套规则；生产终端、普通办公人员和移动办公人员之间也可能完全不同。
这时候更适合把策略本身抽出来。
管理员先配置一组终端规则，再把人员、部门或者岗位与这组策略关联。
员工调岗以后，不一定需要逐项修改十几个开关；策略关系变化以后，终端权限跟着调整即可。
所以“权限组”真正解决的并不是后台多一个配置页面，而是终端准入规则怎么在较大组织里持续维护。
终端准入还要管“什么时候失效”
登录安全容易把注意力都放在“怎么进来”，但企业实际运行以后，另一个问题很快就会出现：
什么时候应该不能再进来？
员工离职、项目结束、外协合同到期，企业通常会先禁用账号。
但如果客户端已经保持登录状态，或者某台设备上还留着原来的会话，单纯修改账号状态是否能及时让终端失效，就值得继续确认。
类似的问题还有很多。
设备遗失以后，能不能解除原来的授权；人员调岗以后，客户端权限多久变化；某台终端被替换以后，旧设备还能不能再次登录。
所以，终端准入如果只在登录页面判断一次，其实还不完整。
登录只是进入系统的那个瞬间，终端是否持续具备访问资格，本身是一个会变化的状态。
真正值得看的，不是有多少安全开关
现在很多企业IM都会列出IP限制、设备管理、登录限制、客户端控制、权限组等安全能力。
单看功能清单，差异可能并不明显。
真正落地时，可以直接顺着一次登录往后追：账号有没有失效，这次访问来自哪里，这台设备以前是否登记过，当前客户端是不是这个岗位允许使用的；如果人员调岗、设备遗失或者账号被禁用，这些权限又能不能及时变化。
如果这些判断能够独立配置，又能按照企业自己的制度组合起来，终端准入才真正具有管理价值。
所以，“账号密码正确”在企业IM里只能说明一件事：
当前用户掌握了正确的身份凭据。
至于这次登录到底该不该放行，还要继续看网络、设备和终端策略。
对于运行在企业内网、专网或者自有服务器环境中的内网即时通讯和私有化IM系统，终端准入更像是一条持续判断链，而不是登录页面上的一次账号校验。
