给出权限审计的检查范围、方法与产出，防止权限越积越大。下面按“先判断、再动手、最后验证”的顺序展开，每一步都给出可核对的检查点。

涉及 权限审计、最小权限、账号审计 的关键动作都写成了具体命令或配置项，可以照着走，也可以当检查表用。

检查范围

云子账号、服务器账号、数据库账号、应用后台角色、第三方授权，五类都要过。

方法

导出全部账号与权限清单，对照在职名单与岗位职责，逐个判断「还需要吗」。

高危信号

长期未登录却持有高权限、通用共享账号、离职人员账号仍存活。

处置

降级优先于删除，先收权观察再清理，避免业务突然中断找不到原因。

产出

审计报告记录每个账号的处理决定与时间，下次审计对照，防止反弹。

速查表

常见问题

Q：按文中写法改完，怎么确认真的生效？
不要只看配置文件，用对应的验证命令或从外部视角复测一次；改完先小流量观察一段，再全量推进，出问题能马上回退。

Q：按文中的步骤做完，还需要注意什么？
把处理过程和最终生效的参数记下来。同类问题再出现时直接对照记录，比重查一遍快得多。

Q：业务规模小，也要按这套标准来吗？
不需要一次到位。先把影响最大的两项做到位，剩余的随着业务增长逐步补齐，比一开始就追求完美更容易落地。

小结

回到这篇的 5 个环节：检查范围、方法、高危信号、处置、产出。把这几个动作写进检查表，下次遇到同类问题按顺序过一遍，比凭经验跳步骤稳。

相关阅读：备份防勒索：3-2-1与不可变存储、企业防钓鱼：识别与演练、漏洞扫描：工具与流程。

延伸阅读：用户与权限管理：sudo配置与最小权限、日志审计与等保基础要求、密码管理器与团队凭据管理。