社交媒体角色权限：代理机构的 6 角色配置方案

基于角色的访问控制（RBAC），说白了就是：决定一个人能做什么的，是角色，不是这个人本身。对社交媒体团队来说，你要的是六个角色，不是二十个：创作者、编辑、审批人、发布者、分析师、管理员。把每个人限定到特定的客户账号，谁也看不到不属于自己的工作范围，然后每一步谁批了什么，都留好记录。

代理机构通常栽在两个方向里：要么所有人共用一个登录账号，要么每篇帖子都等着老板点头。其实这两种问题，一个下午就能解决。

太长不看版： 六个角色，按客户隔离，审批是关卡，每一次签字都有记录。真正让整个模式变得不可维护的，是逐人的特殊权限。

六个角色，覆盖几乎所有团队

角色	能做什么	不能做什么
创作者	起草帖子、上传素材	发布、连接账号
编辑	修改范围内的任何草稿、提交审批	审批自己的工作
审批人	审批、驳回、评论草稿	修改已连接的账号
发布者	排期并发布已审批的帖子	审批、添加用户
分析师	查看数据、导出报告	碰内容
管理员	连接账号、管理用户和角色	没有限制，所以只留两个人

两条规则能让这套体系不烂掉：没有人能审批自己的工作，管理员只留给两个人，这样永远有备份，也永远不会变成委员会。

别搞逐人的特殊权限。一旦出现“Sarah 可以，但她周四还能发帖”这种情况，六个月后这套配置就没人能审计了。特殊情况就临时换个角色，用完再改回来。

范围隔离：代理机构最容易搞砸的地方

光有角色还不够。A 客户的创作者，绝对不能看到 B 客户的内容。 这就是范围隔离，也是代理机构从共用一个登录账号成长起来后，第一个崩掉的地方。

隔离要从三个维度做：

• 客户或品牌。 这是硬边界。兼职人员只给一个。
• 渠道。 一个人可以管 Instagram 和 TikTok，但碰不到 LinkedIn 公司主页。
• 阶段。 有草稿权限，绝不等于有发布权限。

这里要的是真正的隔离，不是过滤。如果兼职人员切换账号选择器就能进到另一个客户的收件箱，那只是默认视图，不是隔离。工作区就是 Mydrop 划这条线的方式：每个客户是独立的空间，有自己的成员、日历和已连接的账号。

客户那边的相关人是另一个问题。他们大多数人根本不该有用户账号。用免登录的客户门户，他们就能查看并审批自己的内容，不用占席位、不用设密码，项目结束后你也不用永远维护一个权限级别。

审批是关卡，不是职级阶梯

权限决定谁能操作，审批决定什么时候操作。这两件事要分开，不然你很快就会为了让周五的帖子能发出去，把一堆人提成管理员。

按风险来走流程，别按职位：

内容	谁来审
模板化、定期发布的帖子	一位编辑
新活动或新说法	客户或品牌负责人
受监管、涉法或危机内容	指定的法务审批人，无备选

前两行给一个备选审批人，别让假期卡住发布。第三行要真正能拦住。审批工作流会扣住帖子，直到所有签字到位，这样“已批准”和“已发布”就是同一条记录，而不是你手动核对的两份清单。

审计日志必须记录的五个要点

“谁改的？”这个问题总在最糟的时候冒出来，而只存当前状态的日志根本答不上来。

每个操作要记五件事：

1. 谁做的，必须是具体的人，不能是共享账号。
2. 当时担任什么角色。 人会换角色，如果日志在读取时才解析角色，就等于悄悄改写了历史。
3. 改了什么，改之前的版本还能看到。
4. 什么时候，带时区。
5. 是在哪一次审批下发布的。

两条实用规则：审批记录的保存时间要比操作日志更长，因为别人真正会来查的就是审批记录。还有，要能按客户和时间范围搜索，因为每一次审计请求都是这个格式。

对比供应商很简单：让每家调出一条三个月前某条帖子的审批历史。演示里拿得出来就是有，拿不出来就是没有。

买之前要确认什么

真正能区分“权限模型”和“设置页面”的功能：

• 角色能按客户分别设置，而不是每个用户一个全局角色。
• 隔离经得起账号切换的考验，用真实兼职账号登录测过。
• 审批流程指定了具名审批人，还有明确的备选。
• 单条帖子的审批历史可以导出。
• 审批人不需要占席位，客户签字不用买许可证。
• 支持 SSO 和目录同步，如果用户列表归 IT 管的话。大多数社交工具把这功能放在企业版里，所以第一通电话就要问，别等到签合同才发现。

Planable 和 Sprout Social 都支持定义角色和多级审批。Mydrop 把按客户隔离的工作区、角色、草稿上的评论、审批关卡和免登录审阅链接整合在一个系统里，而代理机构通常要用两个不同的工具才能拼出这套组合。至于更完整的运营配置，可以看社交媒体代理机构这篇，覆盖了更广的技术栈。

这周就把它搭起来

三步，按这个顺序：

1. 列出今天所有能发布的人。 把前兼职人员和共享登录账号也算进去。这份名单永远比你以为的长。
2. 给每个人分配一个角色、一个客户范围。 第一轮不做任何例外。
3. 把客户相关人移到审阅链接，然后删掉他们的用户账号。

在日历里设一个 90 天后的提醒，把第一步再做一遍，因为过期的访问权限是那种每次都会回来的问题。你可以免费开始，在下一个活动开始前，把角色和客户工作区都搭好。