1. 权限Reach与Impact量化概述

本课程面向安全架构师、权限治理工程师、SRE及合规审计人员，旨在建立对权限Reach（影响范围）与Impact（影响程度）的量化认知，为后续的风险评估与权限裁剪提供可复用的计算框架。本章为全课程总纲，定义核心概念、量化目的及与权限风险评估的关系，并展示课程交付物全景。

1.1 适用场景

• 新系统上线前权限预评估：在资源接入IAM前测得其潜在爆炸半径。
• 既有权限裁减优化：识别高Reach+高Impact的“超级权限”并优先降权。
• 合规审计与SoD冲突分析：量化跨系统权限集中度，验证职责分离。
• 零信任策略落地：为微隔离、JIT授权提供数据驱动的访问边界决策依据。

1.2 前置条件

条件类别	具体要求
数据基础	完整IAM账户‑角色‑资源映射关系（至少覆盖95%生产实体）
工具链	支持图遍历的权限分析引擎（如REGO、Neo4j + IAM审计插件）
组织共识	已定义资源分级标准（C1‑C4敏感度）及影响系数校准表
人员角色	至少1名熟悉业务资源归属的领域架构师参与初值核准

1.3 核心定义

• Reach（影响范围）：给定主体（用户/角色/服务账号）通过直接或间接权限可访问的资源实体数量（归一化至0~1区间）。记为 R。
• Impact（影响程度）：上述资源被访问后可能导致的最大潜在损失等级（基于资源敏感度、操作类型、数据量级综合评定）。记为 I。
• 量化目的：将模糊的“权限过大”转换为可比较的数值，支撑自动化降权排序、风险阈值告警及审计报告生成。

1.4 与权限风险评估的关系

权限风险评分（Risk Score）由 Reach 与 Impact 的加权组合构成：

Reach 侧重“面”的蔓延风险，Impact 侧重“点”的破坏力。两者独立量化后通过积的形式合成，避免线性加权导致的“中等Reach+中等Impact”被低估。该分数直接用于触发自动审批、临时冻结或定期复审。

1.5 课程交付物总览

1.6 操作步骤（本章概述级）

1. 收集实体关系图：从IAM提供商拉取用户、角色、策略、资源绑定。
2. 分配资源敏感度标签：按数据分级表标记每类资源的Impact基准值。
3. 遍历计算Reach：对有向图做BFS/DFS，统计每个主体可到达的独立资源个数。
4. 合成Impact：对每个主体的可达资源集合，取最高操作风险系数×敏感度得出I。
5. 计算风险分数并排序：按Risk值降序输出待处理权限列表。

1.7 输入输出物

类别	输入物	输出物
原始数据	IAM策略/角色JSON快照、资源目录元数据	实体关系图谱CSV（节点 + 边）
量化结果	实体关系图谱、敏感度系数表	每位主体R、I、Risk三值
治理动作	阀值策略（例如Risk≥0.7）	降权工单 / 自动审批规则 / 审计报告

1.8 责任边界

• 权限治理组：制定Reach/Impact量化标准、维护敏感度表、审核异常值。
• 业务系统Owner：确认资源敏感度标签正确性、提供操作Impact校准假设。
• 安全平台团队：维护全量实体关系图、保证数据更新延迟不超过24h。
• 审计/合规：监督量化过程可追溯性、随机抽查5%样本验证计算逻辑。

1.9 记录材料

• 《Reach & Impact 系数校准会议纪要》（第2章生成）
• 《实体资源敏感度登记表》（版控存储，每次评估更新快照）
• 《每期风险评估计算日志》（含入参、遍历结果摘要、异常标记）

1.10 异常处理

异常场景	处理方式
资源映射不完整	使用降级策略：只计算已映射资源，并在报告标记覆盖率<95%
角色递归深度过大	设置最大递归层数（默认10层），超出部分截断并告警
敏感度标签缺失	自动视作最低敏感度（C4），生成缺失列表要求72h内补录
计算超时	拆分主体批次（每批≤5000个），增量合并结果

1.11 验收标准

• 至少完成1个生产租户的完整Reach/Impact计算，输出字段无空值。
• 随机抽取20个主体人工核验Reach与Impact，误差均≤10%。
• 风险排序Top 5的主体经业务Owner确认符合预期高风险特征。
• 所有异常处理路径均在计算日志中记录触发原因及处置动作。