| 身份 | SSO/MFA 统一入口，禁用共享账号与个人密钥 |
|---|---|
| 权限 | 只读默认；变更加临时授权（JIT）并限时 |
| 审计 | 云审计、K8s audit log、堡垒机记录三路对账 |
K8s 只读示例
K8s 只读示例
kind: Role
rules:
- apiGroups: [""]
resources: ["pods", "pods/log"]
verbs: ["get", "list", "watch"]应急通道也要纳管：break-glass 账号密封保存并在使用后强制检查与轮换。