最小权限不能一刀切收紧，可以分五步落地：盘点现状、观察使用、分组归并、收紧回收、动态调整，让权限从“越开越多”变成“按需而定”。
“最小权限”四个字，大家都认同，真做起来却最容易出事：收紧权限，业务系统有人访问不了；不收紧，权限长年累积、越开越大。关键在于节奏——先看清现状，再有依据地收紧，最后让权限跟着变化走。
为什么最小权限容易“落不了地”？
三个原因最常见：现有权限没人说得清、收紧后担心影响业务、没有持续复核的机制。所以落地的重点不是“一次改完”，而是“有依据地分步收敛”。
分五步收紧权限
五步前后相接，每一步都有明确的输入与产出，可以按系统、按部门分批重复进行。
第一步：盘点现状
导出每个业务系统的账号与权限，按人员、岗位、权限范围整理成清单。重点关注：高权限账号、长期未使用的账号、权限明显超出岗位的账号。
第二步：观察实际使用
对照访问记录，看每个人在过去一段时间里，实际用到了哪些权限。“有权限”和“在用”之间的差距，就是可以收敛的空间。观察期通常需要覆盖一个完整的业务周期，比如一个月或一个季度。
第三步：按岗位分组归并
不要给每个人单独设置权限，而是按岗位或职能归并成几个角色：财务、销售、研发、运维。再用ABAC 属性访问控制这类方式，补充角色之外的条件，如部门、地点、时间。
第四步：先预告，再收紧与回收
收紧之前先通知相关人员，说明哪些权限将被调整，留出反馈窗口。对确实在用但不在新角色里的权限，走例外流程补充。长期不用的权限则直接回收。
第五步：让权限动态调整
权限不应是一次授予、长期有效，而要随岗位变动、项目周期、风险状态而变化：
- 入职、调岗、离职自动触发权限变更，思路见离职的人，账号还在吗？；
- 临时权限设置到期时间；
- 风险升高时，临时要求补充验证或限制范围，参考访问权限为什么不能一成不变？。
怎么保证不影响业务？
- 先观察后收紧： 用记录模式运行一段时间，确认影响再生效。
- 分批推进： 先从风险高、影响面小的系统开始。
- 保留例外通道： 业务确有需要时，可在短期内走审批开通。
- 提供回退： 收紧后出现问题，能快速恢复。
统一管理账号、权限与审批的平台，会让这些动作更容易执行。例如统一身份认证准入里的身份管理与权限管理，就是围绕这类需求展开。
小结
- 最小权限靠“分步收敛”，而不是一刀切。
- 五步：盘点、观察、分组、收紧回收、动态调整。
- 观察、分批、例外、回退，是保障业务稳定的四个要点。