最小权限

按动作和资源限定范围

只能读取某个存储桶前缀的角色，与能读取所有存储桶的角色不同；只能从两张表查询的数据库用户，与拥有 ALL PRIVILEGES 的用户不同。权限要按服务真正需要的精确动作和资源来定义，并测试被拒绝的动作确实会失败。

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": ["s3:GetObject"],
    "Resource": "arn:aws:s3:::app-uploads/tenant-42/*"
  }]
}

示例是 AWS 策略，原则可移植：动作、资源、条件，而不是 *:*。

让授权有期限

长期权限会不断累积。优先使用短时凭证、即时提权和特权操作的审批流程。人类管理员不应需要永久生产写权限；服务应使用工作负载身份而不是静态密钥。每项授权都应有负责人、理由，以及过期或复核日期。

验证并回收

用审计日志查看哪些权限真正被使用。删除未使用的角色和密钥，收窄通配符，并分离职责，使一个身份不能既批准又执行敏感变更。回收权限可能破坏系统，因此要带监控和回滚路径逐步推进。

何时使用

每个接触生产数据或基础设施的身份都应遵循最小权限。优点是更小的爆炸半径和更清晰的责任；代价是更多配置，以及破坏隐藏依赖的风险。与宽泛角色相比，最小权限需要资产盘点和复核流程，但能限制凭证泄露造成的损害。