功能定位：为什么“一键清理”不是简单删除
在钉钉的权限体系里，清理离职员工账号权限的核心目标是“让身份失效，但数据可溯源”。官方把这套动作拆成三步：冻结身份、转交资源、回收权限。所谓“一键”只是把三步合并为一次后台任务，并非字面意义的“秒删”。理解这一点，就能解释为何有时执行后仍能看到历史消息：消息体属于组织资产，已被水印标记，权限回收仅阻断新写入。
与相近功能对比，通讯录“离职”按钮仅把员工标记为“已离职”，不主动回收权限，需管理员二次操作；智能人事“离职交接”侧重审批流与资产清单，不会自动解除群管理员、宜搭应用授权等隐形权限；而一键清理在上述两步之后运行，作用域覆盖群、文档、项目、宜搭、邮箱别名、IoT 门禁等 12 类对象，是目前最彻底的“权限兜底”方案。
前置检查：哪些账号可以被“一键清理”
准入条件
- 员工状态必须是“已离职”且主企业为当前组织。
- 账号不能是团队所有者（Owner），需先转让所有权。
- 如果员工是钉钉共创组织成员，需先退出共创身份，否则按钮置灰。
- 组织已开通“安全合规包”（基础版以上），否则只能手工逐项回收。
例外清单（When not）
下列对象即使执行一键清理，也不会自动解除，需要单独处理：被手动设置为“数据权限继承”的宜搭表单；跨组织共享文档中“可管理”权限；第三方 SaaS 通过开放平台授权获得的身份令牌（需到“工作台-第三方应用”手动停用）。
操作路径：管理后台最短可达路线
桌面端（推荐）
- 管理员登录 oa.dingtalk.com
- 左侧菜单【通讯录】→【内部通讯录管理】→搜索员工→点击【更多】→【一键清理权限】
- 在弹窗中勾选需要回收的模块（默认全选），确认“数据接收人”后点击【立即执行】
- 任务提交后可在【安全审计→权限清理日志】查看进度，通常数十秒内完成，千人级组织经验性观察约 3-5 分钟。
移动端（Android/iOS 同步）
- 打开钉钉 App→工作台→管理企业→通讯录管理
- 搜索离职员工→滑到最底部【权限回收】→【一键清理】
- 后续步骤与桌面端一致，但因屏幕限制，默认折叠“高级选项”，需手动展开才能看到“第三方应用”开关。
提示：如果按钮灰色，先检查员工状态是否“已离职”；若刚审批完，状态同步可能有 1-2 分钟延迟，可刷新页面或重新搜索。
失败分支与回退方案
常见报错对照表
| 报错文案 | 根因 | 处置 |
|---|---|---|
| “存在未完成审批单” | 员工仍是审批节点责任人 | 到【审批-后台-待处理】批量转交后重试 |
| “宜搭表单继承冲突” | 表单开启“数据权限继承”且员工为所有者 | 进入对应表单→设置→权限→关闭继承→再清理 |
| “第三方令牌失效失败” | SaaS 侧回调超时 | 手动到【工作台-第三方】停用时再重试，或联系厂商 |
回退策略
权限一旦回收，系统会生成“回收快照”保存 30 天。若发现误清理，可在【安全审计→权限清理日志】找到对应任务→【回滚】，恢复范围包括群管理员、文档权限、项目角色。注意：回滚不会恢复已被新管理员覆盖的权限，例如 A 被清理后 B 成为新群主，回滚只会让 A 重新获得“群管理员”身份，与 B 并存，而非顶替。
与机器人/第三方的协同最小化原则
若组织接入了“第三方归档机器人”或“自动禁用账号脚本”，建议把“一键清理”设为后置动作。经验性观察：先由机器人调用开放平台接口/topapi/role/deleterole删除自定义角色，再执行一键清理，可把失败率从可见水平降到近乎零。原因是角色被提前解除后，清理任务不再触发“角色继承”校验，缩短耗时。
警告：切勿把开放平台“删除用户”接口与一键清理并行调用，二者存在事务锁冲突，可能导致员工状态卡在“删除中”，需提工单人工修复。
验证与观测方法
- 即时验证：清理完成后，用另一管理员账号进入该员工的主部门群，点击群设置→群管理员，原离职人员已不在列表。
- 文档验证：打开钉钉文档→共享空间→按“成员”筛选，输入离职员工姓名，结果为空。
- 审计验证：导出【安全审计→权限清理日志】CSV，字段status=success且rollback=0即为成功。
- 边界验证：进入宜搭→对应表单→数据权限→查看“所有者”列，若仍出现离职员工，则需手工处理，证明例外清单生效。
适用/不适用场景清单
| 组织规模 | 适用性 | 备注 |
|---|---|---|
| 50 人以下 | 可选 | 手工回收更快，但一键清理能避免漏网 |
| 50-500 人 | 强烈推荐 | 平均节省 70% 人力核对时间 |
| 500 人以上 | 必需 | 结合 OpenAPI 批量标记离职后统一清理 |
| 金融/政府 | 合规必需 | 国密算法日志留痕，满足等保三级 |
最佳实践 10 条速查表
- 离职审批通过→智能人事自动同步状态→等待 2 分钟→再执行一键清理，可避开 90% 报错。
- 把“数据接收人”设为部门主管，而非 HR，减少后续文档所有权纠纷。
- 每月第一周批量导出【权限清理日志】，用 Excel 透视表检查是否有“failed”记录，形成例行安检。
- 若使用跨组织看板，务必在清理前把离职员工权限降为“可查看”，否则清理后对方组织会收到“字段权限冲突”提醒。
- 对 IoT 门禁场景，清理完成后到【智能硬件】→【门禁权限】再点一次“同步”，确保物理权限也失效。
- HarmonyOS NEXT 设备若出现“清理后仍显示头像”，重启钉钉客户端即可刷新本地缓存。
- 清理前关闭员工的“邮箱别名”，否则外部邮件仍可能投递到其钉钉邮箱。
- 若员工是“企业支付”管理员，需先到【财务】→【企业支付】转让超级管理员，否则清理任务会跳过支付模块。
- 教育行业客户若开启“钉钉课堂”讲师身份，清理后该员工录播仍保留，但不再显示个人名片，满足合规要求。
- 回滚操作最多 30 天，且只能恢复同一版本快照，若期间组织架构发生重组，回滚后需再手动核对。
FAQ（结构化数据）
一键清理会删除聊天记录吗？
不会。聊天记录属于组织资产，系统仅移除该员工的读写权限，并在后台加水印标记，历史数据仍可通过审计导出。
可以一次性选择多名员工吗？
截至当前的最新版本，一键清理仍限单次单人。可先在智能人事批量标记“已离职”，再逐个点击，或调用 OpenAPI 循环调用接口实现批量。
清理失败会收到通知吗？
会。失败详情会推送到管理后台“消息中心”及绑定手机号，报错代码与处置建议见本文失败分支表。
回滚后还能再次清理吗？
可以。系统把回滚视为“快照还原”，不影响后续再次发起清理，但两次操作需间隔至少 5 分钟，防止事务冲突。
第三方 SaaS 的令牌多久会失效？
取决于 SaaS 厂商的刷新策略。钉钉会立即调用 revoke 接口，若厂商侧网络超时，令牌最长存活 2 小时，期间可手动到第三方后台强制踢出。
总结与下一步行动
钉钉后台的“一键清理离职员工账号权限”把冻结身份、转交资产、回收权限三件事打包成一次任务，在 50 人以上组织能显著降低漏回收风险。它的真正价值是“兜底”而非“删除”，理解例外清单与回退窗口，才能在合规与效率之间取得平衡。
建议你本周就做三件事：① 在测试环境找一位志愿者走完整流程，记录耗时与报错；② 把“数据接收人”角色写进员工手册，避免临时指人；③ 设置每月第一天导出清理日志的日历提醒，形成例行安检。完成这三步，离职权限回收就从“救火”变成“例行巡检”，让安全管理真正前置。
