生产环境访问控制是什么
生产环境访问控制的目标是让「能改生产的人」最小化且全程可审计：SSO/MFA 统一身份入口，禁用共享账号与个人长期密钥；权限默认只读，变更走临时授权（JIT）并限时回收；审计上云审计日志、K8s 审计日志、堡垒机记录三路对账，任何动作能还原到人。应急通道同样要纳管：break-glass 账号密封保存，使用即触发告警与检查，用后强制轮换。原则是「按需申请、限时授权、全程留痕」，而不是把管理员权限当福利发放。
基本信息
| 身份 | SSO/MFA 统一入口，禁用共享账号与个人密钥 |
|---|---|
| 权限 | 只读默认；变更加临时授权（JIT）并限时 |
| 审计 | 云审计、K8s audit log、堡垒机记录三路对账 |
| 应急 | break-glass 账号密封保存，使用后强制检查与轮换 |
典型使用场景
- 日常排查：开发用只读权限查看日志与指标，不碰变更操作。
- 故障处理：按需申请临时变更权限，到期自动回收。
- 审计合规：三路日志对账，回答「谁在何时对生产做了什么」。
- 应急响应：break-glass 账号在事故时启用，事后强制复盘与轮换。
- 新人上手：默认只读起步，按角色逐步授予最小权限。
K8s 只读示例
K8s 只读示例
kind: Role
rules:
- apiGroups: [""]
resources: ["pods", "pods/log"]
verbs: ["get", "list", "watch"]
# 只读角色用于日常排查; 变更走单独角色并限时绑定控制维度速查
| 维度 | 默认 | 例外 |
|---|---|---|
| 查看 | 允许（只读） | 涉敏数据走审批 |
| 变更 | 禁止 | JIT 限时授权 |
| 密钥访问 | 按角色 | 双向审批 |
| 应急 | 密封备用 | 使用即告警+轮换 |
应急通道也要纳管：break-glass 账号密封保存并在使用后强制检查与轮换，否则应急机制本身就是最大风险点。
权限回收与人员流动挂钩：离职、转岗时自动回收全部生产权限，权限清单定期复核而不是一次性授予后遗忘。