最小权限评审工作流

目标

应通过评审策略与实际使用降低过度授权。本工作流先盘点身份、角色及其挂载策略，再用访问日志找出被授予但从未使用的权限，把通配符与未用动作替换为最小必需集，最后重验证服务正常运行、合法访问未被切断。

步骤要点

1. 盘点身份、角色及其挂载策略。
2. 对比使用日志找出从未使用的权限。
3. 用最小必需集替换通配符与冗余动作。
4. 变革后重验证操作未被打断。

# find wildcard actions in a policy document
jq '.Statement[] | select(.Action == "*" or (.Action | type=="array" and index("*")))' policy.json

验证

按顺序执行上述步骤后，逐项确认每个步骤的预期状态均已满足；只有全部预期状态成立，才认为本流程完成。若某一步未达到预期状态，应先按排错提示排查，不要跳过继续，以免掩盖问题。

排错提示

• 通配符会授予远超预期的权限。
• 移除在用权限会中断服务。
• 缺少使用数据只能靠猜。

适用边界

• 需要 IAM 配置与使用日志。
• 默认拒绝、显式允许。