身份治理与特权访问
治理访问申请、权限包、访问审查、角色保障和限时特权访问，并保留相关证据。
- 明确边界指定租户、资源、所有者、审批人和业务原因。
- 设置保障措施发布前预览分配策略和职责分离规则。
- 申请访问提交范围明确、包含理由和期限的申请，交由独立人员审批。
- 审查访问权检查范围内的分配，记录决定并核实整改情况。
- 结束特权使临时访问到期或将其撤销，并检查审计证据。
申请与审批
申请应注明租户、资源、角色或权限包、理由和有效期限。创建申请和审批申请是分开的；按要求会阻止自我审批和跨租户目标。被拒绝或已过期的申请不会授予访问权。审批人应依据记录的实际需求和策略结果作出决定，而非依赖非正式消息。
- 申请准确的资源，并填写理由和结束日期。
- 提交给获授权的独立审批人，并确认决定已记录。
- 工作结束时撤销访问权，并核实分配已失效。
权限包与分配
目录和权限包支持带版本的草稿、发布，以及通过新版本回滚。分配给用户或群组的权限可以设置有效期，并要求独立审批。旧版模式或仅限已分配对象的模式遵循已发布的应用策略。权限包不能覆盖租户边界或 SoD 规则。
- 编辑前检查权限包内容、所有者和目标应用。
- 验证并发布审核通过的版本，然后确认其已生效。
- 申请分配时填写理由和有效期，并检查最终状态。
角色层级与 SoD
角色层级和职责分离策略会限制可同时拥有的权限组合。策略支持模拟和版本管理；例外需要单独申请、独立审批并可撤销。调整父级可能影响下级角色。切勿通过扩大角色权限来绕过冲突；例外应范围明确且有时限。
- 根据当前租户策略模拟拟议的角色组合。
- 发布审核后的策略，并检查预期冲突。
- 申请例外时说明理由和期限；不再需要时及时撤销。
访问审查与活动
访问审查用于认证成员关系和权限分配。活动会设定对象范围、审核人和截止日期；审核人须逐项作出决定。审查决定和之后的权限撤销是不同状态。通过活动状态跟进逾期事项；无人回应不代表批准。
- 创建租户审查活动，指定负责人和截止日期。
- 依据当前需求逐项确认或撤销，并记录理由。
- 确认活动完成，并在权限分配本身核实整改结果。
PIM、step-up 与紧急访问
符合 PIM 激活条件并不代表特权已生效。激活可能要求填写理由和期限、获得审批，并通过近期的用户绑定验证或抗钓鱼 step-up 验证。不得绕过受保护的检查。紧急访问有专门挑战和审计记录，不是用来解决角色或验证因素缺失的常规办法。
- 检查资格、验证因素和允许的激活时长。
- 完成真实的 step-up 验证，并确认角色已生效且设有到期时间。
- 主动结束或等待访问到期，然后检查特权会话和审计状态。
工作流与证据
生命周期工作流支持触发器、操作、版本、审批、分阶段发布、回滚和运行监控。在提供相关功能时，应先验证并试运行。获准后可暂停、恢复、取消、重放或审批运行。审计导出、保留策略和法律保全共同管理证据；修正工作流时应保留历史。
- 验证触发器和操作；先试运行并检查影响。
- 申请审批，分阶段部署并发布目标版本。
- 监控运行状态；重放前先了解可能产生的重复影响。
常见问题
我可以审批自己的申请吗？
如果流程要求独立审核，则不可以；请转交另一位获授权的审批人。
分配权限包会立即生效吗？
可能需要等待审批，而且仍受成员身份、有效期和策略限制。
如果 SoD 阻止访问怎么办？
检查模拟证据；如果策略允许，可申请范围有限的例外。
符合资格的 PIM 角色已经生效了吗？
没有。请完成要求的 step-up 验证并激活，然后确认其有限有效期。
完成审查会自动撤销访问权吗？
请单独检查权限分配；审查决定与实际整改是不同步骤。
发生错误后可以删除审计证据吗？
不可以。请通过新版本或回滚修正，并保留审计历史和法律保全记录。