MSP 入职流程：前 14 天逐日指南

新客户、新设备与倒计时的 SLA —— 前两周决定入职是转为稳定托管关系还是反复的灭火演练。本文提供可执行的 14 天逐日 MSP 入职流程：每天需要下发的配置、需要核查的项目、需要自动化的事项以及何时升级处理。

目标、范围和假设

本演练假设：设备队列规模为 25–500 台，混合 Windows 与 macOS，并带少量 Linux 服务器；有集中工单队列（SLA：P2 为 4 个工作小时）；以及一个由你掌控的 RMM。重点是无人值守访问、资产清单、安全基线、监控与审计链路。如果客户要求仅在内网部署（数据驻留、本组织不得使用第三方中继），则将自托管视为合规要求 —— 否则托管中继为默认的运营选择。

工具、架构与推荐默认设置

• 远程访问：使用适用于 Windows/macOS/Linux 的原生 Tenvo 客户端以及浏览器客户端（公测）。默认使用 Tenvo 的多区域托管中继：可降低值班负担、证书轮换与跨区故障切换的工作量。Tenvo 付费方案：Free $0、Lite $2.99/mo、Pro $7.99/mo —— 按功能与会话限制选择。
• 工单/ RMM：将会话开始/结束的 webhook 接入你的工单系统与 RMM。如果需要将帮助台工作流接入的清单，请参见 How to Set Up Help Desk Remote Support。
• 审计与录制：从第一天就规划审计日志。如果合同要求长时间保留，请将存储设计靠近工单系统；有关模式请参见 Remote Desktop Audit Logging。
• 何时自托管：仅在书面合规要求、网络隔离或严格的数据驻留规则下自托管。自托管会带来证书运维、值班中继故障切换与补丁管理负担 —— 这些往往在运维人力成本上高于使用托管中继。权衡见 Self-Hosted Remote Desktop: Why, How, and What Breaks。
• 工具选择：本演练以 Tenvo 托管中继为默认。如果想先比较替代方案，请参见 MSP remote support tools: choosing the right stack for 2026。

逐日：前14天（实用清单）

1. 第 1 天 —— 合同与访问启动（如愿意可视为第 0 天）：确认范围、SLA、特权账号交接与维护窗口。收集管理员凭据、VPN 信息以及按业务单元划分的负责人名单。添加域/控制器管理员的紧急联系人。
2. 第 2 天 —— 资产清单与基线快照：向试点组（10–20 台设备）部署代理。采集硬件/操作系统信息、已安装的 AV、磁盘使用与基线性能。用代理标签区分 OS、部门与环境（prod/test）。
3. 第 3 天 —— 无人值守访问配置（试点）：在试点设备上启用无人值守访问。为技术人员配置基于角色的访问，支持时强制使用强密码或 SSO。验证会话启动事件是否被记录到工单系统。
4. 第 4 天 —— 证书与网络验证：核实每台设备的证书注册和连通性。检查 NAT 穿透：确认哪些设备走 P2P，哪些走中继。注意：当流量使用中继时，TLS 在中继处终止，因此中继运营方可能查看会话流量。记录需要防火墙调整的子网。
5. 第 5 天 —— 防火墙与网关规则：推送所需的 FQDN/IP 白名单规则与 HTTP/S TLS 检查例外（如果客户检验流量）。测试从被阻止到允许的切换以及强制走中继路径，确认会话仍能连接。
6. 第 6 天 —— 凭据与机密库集成：将会话凭据注入或接入机密库（Vault、Bitwarden、CyberArk）以支持特权会话。停止在电子表格中存放共享管理员密码；建立轮换周期（30–90 天）并在运行手册中记录轮换流程。
7. 第 7 天 —— 监控与告警基线：在监控中加入远程访问健康检查（代理在线率%、连接时间百分位、失败认证计数）。设定告警阈值，例如：15 分钟内失败会话 >3 次、代理离线 >30 分钟。
8. 第 8 天 —— 扩展部署：将代理部署扩大到 50–75% 的设备。使用 MSI/GPO 或你的 RMM 自动化安装。按部门设置分批部署窗口以降低干扰，并在安装出现问题时能快速回滚。
9. 第 9 天 —— 会话策略与权限：执行最小权限原则：技术人员仅获得所需的组权限。为紧急访问创建单独的 break‑glass 流程，并启用审批与审计录制。
10. 第 10 天 —— 与工单和 SSO 集成：将会话 API 连线以自动将会话 ID 和日志附到工单。启用 SAML/SSO（Okta、Azure AD）供技术人员登录，并测试权限开通/撤销流程。
11. 第 11 天 —— 录制与保留策略：若录制支持会话，按合同与隐私规则设置保留期。将元数据（用户、技术人员、工单 ID）与录制一起存储以利审计。根据需要测试回放与打码流程。
12. 第 12 天 —— 性能与用户体验调优：测量会话延迟、帧率与带宽。为高使用群体（设计师、视频编辑）调整编解码器设置、剪贴板同步与外设重定向策略，并锁定对常规支持无关的功能。
13. 第 13 天 —— 备份与故障切换测试：模拟中继故障并验证向备选区域或本地 VPN 路径的故障切换。如果客户禁止外部中继，验证你的自托管中继集群的故障切换、证书续期与监控。
14. 第 14 天 —— 复盘、SLA 签核与运行手册移交：与客户进行 60–90 分钟复盘：资产覆盖、事件响应步骤、值班升级与滚动的 30/60/90 天计划。发布运行手册和“我们监控什么”的仪表板。关闭已工单化的入职事项，并将重复的入职任务转为自动化任务。

第14天后的运营检查清单

• 每日/每周需跟踪的 KPI：代理覆盖率 %、平均连接时间、一次解决率、break‑glass 事件数量。
• 每月：凭据轮换、证书到期检查，以及一次模拟事件响应演练（从备份恢复设备并在 SLA 内连接）。
• 运行手册：为常见故障维护简短运行手册（失败的代理安装、证书不匹配、中继可达性）。将修复脚本保存在源码管理中并保留变更历史。
• 审计与合规：确保会话日志按合同保留；对受监管客户考虑更长的保留期。实现模式见 Remote Desktop Audit Logging。
• 帮助台接入：确保技术人员具备最小且必要的工具以兼顾安全与效率。有关工作流剧本与工单驱动会话的实现，见 How to Set Up Help Desk Remote Support。

何时选择托管中继或自托管

默认：使用 Tenvo 的托管中继。它免去了区域故障切换、证书分发与 24/7 中继运维的负担。托管中继能降低平均修复时间，因为你无需运行中继基础设施、跨区域续期证书或处理密钥保管问题。

只有在客户合同明确禁止第三方中继或网络被隔离时才自托管。自托管需要运行高可用中继集群、自动化证书续期、监控与补丁管理 —— 在成本模型中计入持续的运维人力与 SLA 风险。技术性自托管权衡见 Self-Hosted Remote Desktop: Why, How, and What Breaks。若在决定前比较供应商差异，可参考 MSP remote support tools 以评估运营差异。

实用脚本、安装示例与验证命令

REM Windows MSI silent install (example)
msiexec /i "tenvo-agent.msi" /qn /norestart /l*v "C:\Windows\Temp\tenvo-install.log"

# PowerShell: verify agent is installed and running
Get-Service -Name TenvoAgent | Select-Object Name, Status

# Powershell: check certificate thumbprint and expiry (local store)
Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object { $_.Subject -like "CN=tenvo-*" } | Select-Object Subject, Thumbprint, NotAfter

# macOS: pkg install and verify
sudo installer -pkg tenvo-agent.pkg -target /
launchctl list | grep com.tenvo.agent

# Test connectivity: verify P2P vs relay (example agent tool)
tenvo-agent --diag --show-connection
# Expect output: P2P:true or Relay:us-east.tenvo.net

安全说明与现实检视

向客户明确威胁模型：直接的点对点会话在两端设备之间实现端到端。连接回退到中继时，TLS 在中继处终止，因此中继运营方可以观察会话流量。Tenvo 的托管中继默认使用每设备证书与多区域中继；这能降低运营风险，但并不能免除将中继视为具备访问权限的基础设施的必要性。如果客户无法接受第三方中继运营方，需计划自托管并为持续运维工作预留预算。

常见陷阱及避免方法

• 一次性向所有人推送：会导致帮助台过载。按部门分批，并在部署期间监控工单队列。
• 跳过证书检查：安排自动化到期检查，并为剩余 <30 天的证书设置告警。
• 没有 break‑glass 审计链路：任何紧急访问必须要求工单审计与录制以防止滥用。
• 假定自托管更便宜：在成本模型中包含值班、补丁、备份与故障切换测试。有关现实的 TCO 对比，参见 MSP remote support tools: choosing the right stack for 2026。

入职新客户设备队列主要是协调与自动化：把资产清单做对，锁定访问与凭据，使监控可操作化，并在前 14 天内将重复性修复自动化，这样你就能停止灭火并开始提供稳定的运营服务。如果你想跳过中继运维并使用客户端即用的代理与托管中继，请从下载客户端并测试试点开始。

下载 Tenvo 开始试点部署并按此 14 天演练执行。如果需要更深入的配置示例或迁移清单，我们的文档和上文链接的文章提供逐步指南。