入职开通、调岗调整、离职回收，身份的每个阶段都可能留下隐患。全生命周期管理让权限跟着人的变化走，而不是越攒越多。
一个很常见、也很危险的场景：员工已经离职几个月，他的账号却还能登录系统；或者调岗之后，新岗位的权限开通了，旧岗位的权限却没人收回。这些“遗留”的账号与权限，是攻击者最喜欢的入口。
身份的一生，有三个关键时刻
入职：该有的给到位
新员工需要及时获得岗位所需的账号与权限，太慢影响工作，太多则埋下隐患。关键是按岗位、按需开通。
变动：旧的收回，新的开通
调岗、兼职、项目变化时，权限需要同步调整。最常见的问题是“只加不减”，时间一长，人人都有一大堆用不到的权限。
离职：及时、彻底地回收
离职后应尽快停用或回收所有账号与权限，包括不容易被注意的：
- 各业务系统里单独创建的账号；
- 共享账号、临时账号；
- 外部合作人员、外包人员的账号。
为什么它是零信任的重要一环
零信任强调“最小权限”和“持续验证”。如果生命周期管理跟不上：
- 权限越积越多，违背最小权限；
- 僵尸账号长期存在，难以发现；
- 审计时对不上人，说不清“谁拥有什么权限”。
做好全生命周期管理的几个办法
- 统一身份源： 以统一的组织与人员信息为准，避免各系统各管各的；
- 流程联动： 入职、调岗、离职的人事变动，尽量自动触发账号与权限的变更；
- 定期核查： 定期梳理账号与权限，发现长期不用、归属不明的账号；
- 留存记录： 开通、调整、回收都有记录，便于审计。
统一身份认证准入平台的身份管理能力就覆盖了这几件事：账号管理、身份认证、权限管理、组织架构与身份生命周期，目标是把分散在各个系统的账号、权限与管理纳入统一的身份管理框架，让管理人员从“管理多个系统账号”，逐步转向“管理用户身份与访问权限”；再配合访问日志与操作审计，让权限的使用情况可追溯，便于核查“谁在使用什么权限”。
小结
- 身份有入职、变动、离职三个关键阶段，每个阶段都要同步管理权限。
- “只加不减”和“账号遗留”是最常见的隐患。
- 统一身份源、流程联动、定期核查、留存记录，是落地的关键。