北京
你建了一個新用戶，給了他一個臨時全局管理員角色，然后忘了收回。三個月后，這個早已離職的同事賬號出現在一次安全審計的異常日志里。這不是虛構，這是熵身份權限管理最經典的翻車現場。云身份管理的坑，從來不在"怎么給權限"，而在"記得收回來"。
微軟的熵身份，一項基于云端的身份和訪問管理服務，把這件事拆成了幾個扎扎實實的手動步驟。你可以創建用戶、分配管理員特權、完成任務后撤銷提權——每一步都得你自己按下去，沒有任何魔法自動幫你收尾。這很赤裸，但這也正是大多數人需要的真相：權限最小化不是系統默認給的，是你一次一次手動收出來的。
這篇走查把整個過程拉出來遛了一圈。從新建一個叫里奇·喬治的用戶開始，到給他套上全局管理員角色，再到最后把權限扒掉，步步都是基礎操作，但每步都踩在安全模型的命門上。最值得看的不是操作本身，而是幾個繞不開的設計邏輯。
第一點：默認就是最小權限，狠到連門都推不開。里奇·喬治的賬號剛建好時，登錄進去幾乎什么都干不了。嘗試任何管理操作，系統直接拒絕，因為角色還沒分配。熵身份的用戶創建，默認不附帶任何管理權限，連個"普通讀者"的溫馨提示都沒有。你要權限？手動加。這種設計粗暴，但有效。
第二點：全局管理員能干什么？能干一切。一旦把全局管理員角色分配給里奇，他就能管理用戶、分配角色、訪問所有資源。這個角色是云租戶里的"萬能鑰匙"，沒有邊界，沒有細分。相關消息顯示，在零信任安全模型和多因素認證的框架下，這個角色的每一次使用都應該是短期的、任務綁定的，而不是長期掛著的身份標簽。
第三點：撤銷權限的動作，是人控的，不是系統控的。任務完成之后，管理員必須自己回到門戶，手動移除角色分配。沒有自動過期時間，沒有任務閉環觸發的撤銷機制。如果你忘了，權限就留在那里，成為安全模型里一個安靜的后門。這個設計不智能，但它逼著管理員把"收回權限"寫進自己的操作清單里。
整個流程暴露出來的東西很實在：身份治理在云端不是自動化的魔法，而是一系列需要嚴格執行的手工活。用戶創建、登錄驗證、角色分配、任務執行、權限移除——這五個動作構成了一條完整的權限生命周期線。任何一環的松懈，都會把最小權限原則變成一個笑話。熵身份給你的是工具，不是保姆。
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
