最小权限的起点是什么？
先确定被批准的任务，再授予完成它所需的最少资源和操作权限。不是让所有人都只读，也不是越少越好；少到无法完成任务，同样不符合目标。[1]
046 / 身份与访问 / Least Privilege
只改这一份，为何能打开整座库？
最小权限 · Least Privilege
小珊今天只校对珊瑚组的一份草稿。你删掉了多余的直接授权，却发现她仍能读取别组文件。顺着每一条授权来源，把“配了什么”与“实际能做什么”对起来。
开始探索 ↓8–11 分钟
动手实验 · 场景判断 · 实用检查
动手实验 · 场景判断 · 实用检查
小狗从发光的报表柜取出文件，旁边购物与人物资料柜挂着锁和红叉。画面把工作所需资料与其他资源分开；眼睛图案不能证明真实系统已经收回所有修改或继承权限。
本课任务 / 最小权限
保留完成任务必需的能力，同时找出直接授权之外仍然生效的多余权限。
- 把业务任务拆成资源与动作组合
- 比较必需、缺失和多余的有效权限
- 识别组授权留下的访问路径
亲手探索 / 不同条件，不同结果
把多余钥匙收回，工作还要做得完。
选择校对草稿或汇总两组已发布笔记，在四份文件的读、改、删矩阵里裁剪直接授权，再检查“全库只读组授权”。本模型把直接与组授权取并集，不模拟真实云平台的完整策略求值。
随手查 / 把理解带回实际工作
理解机制之后，检查这些细节。
实验是简化模型。真实环境需要明确业务规则、验证失败路径，并持续维护配置与证据。
01 / 实用细节
用任务列需求，不用头衔猜需求
写清谁、对哪份资源、执行哪种动作，以及是否有时间或环境限制。校对珊瑚组草稿需要读取和修改该草稿；汇总两组已发布笔记需要读取两份已发布内容，不能沿用上一项任务的权限。[1][4]
02 / 实用细节
收回权限时，沿所有来源追一遍
本例只收窄直接授权，无法抵消仍有效的全库只读组授权。真实系统还可能有资源策略、显式拒绝和权限边界；AWS IAM 对不同策略类型使用不同规则，不能把本页并集模型当作通用算法。[3]
03 / 实用细节
读取、修改和删除分别说明理由
一个动作获准，不自动授权另一个动作。优先按必要资源和操作收窄，审查通配符和面向通用岗位的大范围策略；服务新增能力时，也要检查原有策略是否跟着扩大。[4]
04 / 实用细节
既测应该成功，也测必须失败
在获准测试环境验证任务能够完成，再检查跨组、非目标资源和多余动作。默认拒绝与每次请求检查必须在可信执行端落实，页面上少几个按钮不能证明权限已经收回。[2]
05 / 实用细节
使用记录是证据，不是完整需求清单
活动日志能帮助发现闲置授权，但观测期可能没有覆盖月末任务、故障恢复或季节性工作。生成精简策略后仍需核对职责、演练正常流程与拒绝路径，再按变更流程实施。[4]
06 / 实用细节
职责改变，授权也要重新对账
入职、转岗、项目结束和临时任务到期都值得复查。为权限保留用途和负责方，定期移除不再需要的授权；仅新增不清理，会让曾经合理的权限逐渐变成额外暴露面。[2][4]
从模拟，到验证
找一个获准的环境，实际检查一次。
勾选用于本页自查，不会自动标记整课已学会。练习与清单刷新后重置。
本页已检查 0 / 5 项
只读取报表的程序，合适的数据库权限是？
能解释原因，再标记学会。
小测结果同步错题本；“已学会”沿用原有本地学习记录。
资料与依据
- NIST · Least Privilege ↗
按任务与功能限制到最少必要资源和授权
- AWS IAM · Policy Evaluation Logic ↗
AWS 不同策略类型的组合与显式拒绝；不是本页模型的实现声明
- AWS IAM · Security Best Practices ↗
动作／资源／条件、活动记录辅助精简与定期复查
本页场景、人物与数据均为教学示例。互动选择不会上传；收藏、已学会与错题沿用当前浏览器本地存储。来源正文核对日期：2026-10-08。