用户与权限配置的自动化是什么
用户与权限自动化管理账号、组与成员、角色与授权范围、登录与凭据策略。它的特殊之处有两条：安全性要求最高，凭据与授权直接决定被攻破后的影响范围；必须双向可靠，离职或转岗未回收权限是最常见的安全缺口。落地要点是：账号来源与身份或人事系统对齐，避免手工创建；权限按角色授予而不是逐人授权；回收动作与创建动作同样自动化并定期核对；服务账号与特权账号单独管理并限制来源。
基本信息
| 管理对象 | 账号、组与成员、角色与授权、登录与凭据策略 |
|---|---|
| 来源对齐 | 与身份或人事系统对齐，避免手工创建账号 |
| 授权模式 | 按角色授予，避免逐人授权 |
| 关键动作 | 创建、变更、回收、定期核对 |
| 敏感账号 | 服务账号与特权账号采用独立策略 |
典型使用场景
- 入职时按角色自动开通所需访问权限
- 转岗或离职时自动回收并核对残留权限
- 周期性核对账号清单与身份系统的一致性
- 服务账号与密钥集中登记并限制登录来源
- 权限申请走审批流程并带到期时间
账号生命周期自动化示意
账号生命周期自动化示意
# 创建：按身份来源与角色授予权限，不手工指定
# 变更：角色变化触发权限重算，避免只增不减
# 回收：离职或转岗立即回收，并检查遗留的密钥与计划任务
# 核对：周期比对账号清单与身份系统，差异即告警
# 约定：权限最小化 + 到期时间 + 操作留痕环节与风险控制
| 环节 | 风险 | 控制措施 |
|---|---|---|
| 创建 | 手工建号与身份系统脱节 | 由身份来源驱动创建 |
| 变更 | 权限只增不减 | 按角色重算而非追加 |
| 回收 | 离职后残留访问能力 | 自动化回收并核对密钥与计划任务 |
| 核对 | 清单与身份系统不一致 | 周期性比对并差异告警 |
权限回收最容易漏掉的不是账号本身，而是账号派生出来的东西：公钥、API 令牌、计划任务、服务绑定、证书。回收流程应把这些一并纳入清单逐项确认。
特权账号与服务账号不应共用个人凭据，也不应允许从任意来源登录。它们需要独立的凭据生命周期管理与更严格的来源限制，否则一处泄露即可横向移动。