云上权限越管越乱：IAM 最小权限与临时凭证治理实践

权限混乱通常从例外开始

项目赶进度时临时授予管理员权限，任务结束后没有回收；人员通过多个用户组继承权限，最终无人能解释实际能力。治理第一步是建立身份、角色、策略和资源的关系图，识别外部主体、闲置账号、跨账号信任和能够修改权限的高风险授权。

人和程序使用不同身份

员工通过统一身份登录并获取短期会话，不创建可长期使用的访问密钥。应用使用工作负载身份或实例角色，由平台签发临时凭证。每个服务与环境独立授权，开发环境凭证不能访问生产。密钥如果无法立即替换，也要建立归属、过期和使用监控。

最小权限依赖真实行为

从只读或任务角色开始，根据审计日志补充必要动作，而不是复制管理员策略再逐项删除。策略同时限制资源、操作和条件，例如来源网络、设备状态、标签和会话时长。对创建角色、传递角色、关闭日志和修改密钥策略等权限进行单独审批。

跨账号访问需要清晰信任

生产、开发和安全日志放在不同账号，使用明确角色完成跨账号操作。信任策略限制具体主体和外部标识，避免信任整个未知账号。第三方运维只获得短期、可撤销且有会话记录的权限，合同结束后自动失效。

持续审查而非年度清点

对长期未使用权限、异常地区登录、批量读取和策略突变实时告警。定期执行权限证明，由资源负责人确认业务必要性。紧急提权应有过期时间、审批理由和事后复盘。良好的 IAM 治理让默认权限足够完成工作，同时任何额外能力都可解释、可追踪并会自动到期。