研发平台最小权限检查要回答的是：哪些账号、角色、资产、机器身份和发布链路存在超出业务所需的访问能力，以及这些风险是否已经闭环。检查范围覆盖账号与身份、角色与授权、数据与仓库、集成与令牌、环境与部署、审计与回收六类，每项都要有可判断的通过标准、证据来源和负责人。共享账号、超权管理员、无期限令牌、离职账号未停用、生产环境无隔离属于阻断项，未闭环不得通过评审。
要点总览（TL;DR）
- 研发平台最小权限检查覆盖账号与身份、角色与授权、数据与仓库、集成与令牌、环境与部署、审计与回收六类风险，每项都要有通过标准、证据和负责人。
- 账号层先做账号清单与人员名单的双向比对，重点排查共享账号、离职未停用账号和未备案的管理员账号。
- 角色层关注默认角色、超级权限、全局可见范围和临时提权，交付超权账号清单并逐项说明处理结论。
- 共享账号、超权管理员、无期限令牌、离职账号未停用、生产环境无隔离属于阻断项，未关闭不得通过评审。
- 评审通过需同时满足：六类检查项均有结论、阻断项全部关闭并有确认人、非阻断不符合项已登记整改计划与完成时间。
谁在什么时点使用这份检查清单
这份清单面向研发平台账号、角色、仓库、集成和部署环境的管理者，以及承担安全评审职责的人员。它解决的是“在哪个节点、由谁逐项核验并留下证据”的问题，具体检查项从下一节展开。
使用对象与执行时点可以按下面的对应关系分配：
| 触发时点 | 主要执行人 | 配合角色 | 本时点的检查重点 |
|---|---|---|---|
| 平台上线前评审 | 安全评审人 | 平台管理员、项目负责人 | 六类风险全量核验，阻断项必须清零 |
| 季度权限复核 | 平台管理员 | 安全评审人抽查 | 账号状态、角色实际使用、令牌有效期、权限回收记录 |
| 人员入职、离职、转岗或外包进退场 | 平台管理员 | 项目负责人确认交接 | 账号停用时效、权限交接、所属项目成员范围 |
| 集成接入或变更后 | 平台管理员 | 集成发起方、安全评审人 | 令牌授权范围、有效期、吊销路径 |
| 组织架构或项目归属调整后 | 安全评审人 | 平台管理员、项目负责人 | 角色继承关系、全局可见范围、超权账号 |
检查范围限定在平台整体的权限配置与隔离。AI 使用权限的分配与治理、过程审计证据的组织与合规归档属于相邻主题，本清单只在审计与回收层核验权限变更是否留痕、能否收回，不展开这两类内容。
账号与身份层：先查哪些基础风险
账号层的问题往往最先暴露：一个共用凭据或一个未停用的离职账号，就足以让后续所有角色设计失效。这一层按人的账号生命周期逐项核验。
| 检查项 | 通过标准 | 证据 | 负责人 |
|---|---|---|---|
| 共享账号与多人共用凭据 | 不存在以团队名义共用、无法定位到自然人的账号；确需服务账号的，已登记用途与保管人 | 账号导出清单与使用人对照表、服务账号登记表 | 平台管理员 |
| 离职、转岗、外包人员账号 | 离职账号在约定时效内停用；转岗人员原有项目权限已按新岗位收敛；外包账号有明确到期日 | 人事变动记录与账号停用时间比对、交接确认记录 | 平台管理员，项目负责人确认交接 |
| 管理员账号数量与命名 | 管理员账号数量与备案名单一致；命名可追溯到具体人员，无含义不明的管理账号 | 管理员名单、账号命名规范与导出清单 | 安全评审人 |
| 多因素认证与登录来源限制 | 管理员及可访问生产数据的账号已启用多因素认证；登录来源限制按需配置并有记录 | 认证策略配置截图、登录策略说明 | 平台管理员 |
共享账号的排查方法是把账号清单与人员名单做双向比对：每个账号能找到唯一使用人，每个人名下的账号与其当前岗位相符。找不到归属的账号先冻结再确认，避免直接删除造成业务中断。离职账号的核验要拿人事变动日期与停用操作时间对照，只看“已停用”状态无法判断是否及时。
角色与授权层：权限是否真正按需分配
角色层的核心判断是：授予的权限是否与岗位职责匹配，以及是否存在绕过角色直接放大权限的通道。检查时先比对角色清单与实际使用情况，再逐项排查超权来源。
- 角色清单与实际使用比对：导出全部角色及其成员数量，标记长期无人使用的角色和成员数异常多的角色。空置角色应清理，成员过多的角色要确认是否承担了超出设计的职责。
- 默认角色与超级权限：核验新成员默认获得的权限范围，确认默认角色不包含跨项目可见、配置修改等能力；超级管理员数量控制在必要范围并单独备案。
- 全局可见范围：排查拥有“查看全部项目”“查看全部仓库”类权限的账号，逐个确认业务必要性，无必要的一律收回。
- 授权粒度：确认项目级、仓库级、环境级授权可以细分到具体对象，而不是只能整平台授予。粒度不足时，用成员分组或项目隔离弥补，并记录补偿措施。
- 临时提权：临时提升的权限要有到期时间和审批记录，到期后自动或人工收回，检查时抽取若干条提权记录验证是否已失效。
这一层的交付物是角色授权检查表和超权账号清单。超权账号清单要写明账号、超出范围、业务理由、处理结论四项，作为后续回收和复评的依据。
数据与仓库层：敏感资产暴露面怎么查
资产暴露面检查回答的是：哪些代码、文档和制品可以被不该看到的人看到或下载。检查从可见范围入手，再收敛到敏感内容和分发通道。
| 检查项 | 通过标准 | 证据 | 负责人 |
|---|---|---|---|
| 公开可见仓库与文档空间 | 公开范围的仓库和文档空间有明确清单和公开理由；无理由公开的已转为受限 | 公开资产清单、可见范围配置截图 | 项目负责人 |
| 敏感项目成员范围 | 敏感项目的成员仅包含必要人员；外部协作者有邀请记录、权限范围和到期时间 | 成员列表、外部协作者登记表 | 项目负责人，安全评审人抽查 |
| 仓库中的密钥与凭据 | 代码仓库和文档中不存在明文密钥、口令、访问令牌；历史提交中的泄露凭据已轮换 | 扫描结果、轮换记录 | 平台管理员 |
| 制品库下载与推送权限 | 制品的下载和推送权限按项目或环境区分；生产制品不允许开发侧随意覆盖 | 制品库权限配置、发布记录 | 平台管理员 |
公开仓库的盘点不能只看当前设置，还要检查是否有项目在创建时默认公开、后续未调整。密钥检查要覆盖历史提交：即使当前文件已删除，历史记录中仍可能保留明文凭据，发现后应轮换而不是仅删除文件。制品库容易被忽略，构建产物往往包含配置文件和内部地址，下载权限应与源码访问权限保持同一收敛标准。
集成与令牌层：机器身份的风险点
机器身份没有离职流程，也不会主动提醒到期，风险集中在授权范围过宽和有效期过长。这一层要建立台账，逐条核对每个集成和令牌的实际用途。
- 集成账号与令牌清单：登记每个集成的名称、发起人、用途、授权范围和有效期。清单之外存在的令牌视为未登记项，先停用再补登记。
- 长期有效令牌：核验令牌过期策略，标记无到期时间或有效期明显超出业务周期的令牌，要求改为短期令牌或设置轮换计划。
- 吊销与轮换路径：确认令牌泄露后能在多长时间内吊销，轮换是否需要停机或改动多个系统。路径不清晰的集成要补充操作说明并演练一次。
- 授权范围与业务所需匹配：逐条比对集成实际调用的接口与授予的权限范围，读写权限、跨项目访问、管理接口权限属于重点核查对象。
交付物是集成与令牌台账，对超范围和无期限项单独标注。台账要指定每个集成的业务负责人，令牌到期前由其确认是否续期，避免自动续期让临时集成变成长期存在。
环境与部署层：发布链路权限是否隔离
发布链路的权限问题通常表现为：开发和测试环境的人员能够直接触达生产，或者环境之间复用同一套凭据。检查围绕隔离、审批和高危操作展开。
| 检查项 | 通过标准 | 证据 | 负责人 |
|---|---|---|---|
| 生产环境访问人员名单 | 可访问生产环境的人员有备案名单，名单外人员无直接访问能力 | 生产访问名单、权限配置导出 | 平台管理员 |
| 发布与回滚审批链 | 发布和回滚操作有审批记录，审批人与执行人可区分 | 发布审批记录、操作日志 | 项目负责人 |
| 环境间凭据复用 | 开发、测试、生产环境使用独立凭据，不存在同一凭据跨环境使用 | 凭据配置清单、环境配置比对 | 平台管理员 |
| 高危操作二次确认 | 删除、强制推送、修改生产配置等操作有二次确认或额外审批 | 操作策略配置、高危操作记录 | 安全评审人 |
环境隔离的判断标准是：开发侧人员完成日常工作不需要生产凭据，需要时通过审批临时获取。凭据复用要按环境逐一比对配置，重点看数据库连接、对象存储和消息队列的访问凭据是否共用。高危操作的二次确认要落到具体操作类型上，笼统的“谨慎操作”提示不构成通过证据。
审计与回收层：权限变化能否被看见和收回
前五层检查的是权限配置的当前状态，这一层检查的是状态变化是否可追溯、异常是否可发现、权限是否真的被收回。没有这一层，前面的检查结果只能反映检查当天的情况。
- 权限变更日志：账号创建停用、角色调整、授权变更、令牌签发吊销等操作有日志记录，可按人员、时间、对象查询。抽查若干条近期变更，验证日志与实际操作一致。
- 定期权限复核：明确复核周期、责任人和记录方式。复核不是重新看一遍清单，而是由项目负责人确认成员权限仍然必要，确认结果留档。
- 权限回收触发条件与时效：离职、转岗、项目结束、集成下线等场景对应明确的回收动作和完成时限，检查时抽取案例验证是否按时执行。
- 异常访问发现与处置：对非工作时间访问、批量下载、权限频繁变更等异常有发现渠道和处置流程，处置结果有记录。
在权限复核与回收环节，ONES 的成员与角色管理可以承载“谁属于哪个项目、担任什么角色”的日常维护，操作记录为变更追溯提供依据；平台侧的数据安全措施包括传输加密、分级保护和敏感数据加密存储，可作为权限收敛之外的基础保障。具体到授权粒度、临时提权和日志保留策略，需结合平台实际配置核验，本清单不将其视为已具备的能力。
通过标准、证据与负责人如何对应
检查项能否用于评审，取决于通过标准是否可观察、证据是否可留存、负责人是否明确。三项缺一项，检查结果就只能算描述，不能算结论。
通过标准的写法要落到状态或阈值上。例如“离职账号已停用”不可判断，改为“离职账号在 3 个工作日内停用，抽查 10 个账号全部符合”就可以判断。涉及数量的检查项写明抽样范围和允许偏差，涉及配置的检查项写明具体配置项和期望值。
| 证据形式 | 适用检查项 | 留存要求 |
|---|---|---|
| 配置截图 | 认证策略、登录限制、高危操作确认、可见范围设置 | 带时间戳，标注配置所在位置 |
| 导出清单 | 账号清单、角色成员、令牌台账、生产访问名单 | 保留导出时间和导出人 |
| 审批记录 | 临时提权、发布回滚、外部协作者邀请 | 可关联到具体人员和对象 |
| 日志查询结果 | 权限变更、异常访问、令牌吊销 | 记录查询条件和时间范围 |
负责人按三层划分：平台管理员负责账号、令牌、环境配置类检查项的执行和证据提供；安全评审人负责标准判定、抽查和阻断项确认；项目负责人负责本项目成员范围、外部协作者和权限必要性的确认。检查记录按评审批次归档，季度复核沿用同一模板，便于对比前后变化。
阻断项与评审完成条件
阻断项是未闭环即不得通过评审的风险。它们共同的特征是：一旦被利用，影响范围难以限定，或者无法从事后日志中及时发现。
| 阻断项 | 关闭证据 | 确认人 |
|---|---|---|
| 存在共享账号或多人共用凭据 | 账号已拆分到自然人，或服务账号已登记用途与保管人 | 平台管理员执行，安全评审人确认 |
| 存在超权管理员或未备案的全局权限账号 | 超权账号清单已逐项处理，保留项有业务理由和审批 | 安全评审人 |
| 存在无期限令牌或授权范围明显超出的集成 | 令牌已设置有效期或纳入轮换计划，超范围权限已收回 | 平台管理员执行，集成业务负责人确认 |
| 离职或转岗人员账号未停用 | 账号停用记录与人事变动时间比对一致 | 平台管理员 |
| 生产环境无隔离或开发侧可直接访问生产 | 生产访问名单已收敛，环境凭据已分离，审批链生效 | 安全评审人 |
发现阻断项时，评审暂停，由责任人在约定时限内完成整改并提交关闭证据，安全评审人复核后决定是否复评。复评只针对阻断项及其关联检查项，不要求全量重查，但复评记录要与首次评审归档在一起。
评审通过的判定规则是：六类检查项全部有结论，阻断项全部关闭并有确认人签字，非阻断项中的不符合项已登记整改计划并明确完成时间。满足这三条即可判定通过；任一阻断项未关闭，无论其他项完成度如何，均判定不通过。
常见问题
季度权限复核和上线前评审的检查深度要一样吗？
两者深度不同。上线前评审要求六类风险全量核验，阻断项必须清零；季度复核以抽查为主，重点看账号状态、角色实际使用、令牌有效期和权限回收记录，由安全评审人抽查关键项。复核沿用同一模板，便于与上次结果对比变化。
发现共享账号后，直接删除会不会影响业务？
不建议直接删除。共享账号的排查方法是把账号清单与人员名单双向比对，找不到归属的账号先冻结再确认使用人。确需保留的服务账号，要登记用途与保管人，并明确凭据保管方式；拆分到自然人后再停用原共享凭据，避免业务中断。
临时提权记录怎么核验才算通过？
临时提权要有到期时间和审批记录，检查时抽取若干条历史提权记录，验证权限是否已到期收回。只有审批记录、没有到期收回结果的，不能算通过。提权到期后由平台管理员执行收回，安全评审人抽查确认。
集成令牌已经设置了有效期，还需要检查什么？
有效期只是其中一项。还要核对令牌的授权范围是否与集成实际调用的接口匹配，读写权限、跨项目访问和管理接口权限是重点；同时确认令牌泄露后的吊销与轮换路径是否清晰，能否在可接受时间内完成处置。台账中要指定每个集成的业务负责人，到期前由其确认是否续期。
评审中发现阻断项，复评要全量重查吗？
不需要。发现阻断项时评审暂停，责任人完成整改并提交关闭证据，安全评审人复核后决定是否复评。复评只针对阻断项及其关联检查项，复评记录与首次评审归档在一起。阻断项未关闭时，无论其他项完成度如何，均判定不通过。
