4. 冗余权限识别规则

4.1 适用场景

冗余权限识别旨在发现并标记用户身份与授权系统中的“僵尸权限”、“过时权限”和“继承风险权限”。本章定义的判定规则适用于以下四类典型场景：

• 员工离职场景：员工已从组织离职，但系统账号未禁用或权限未回收。
• 岗位变更场景：员工发生内部调动、晋升或降职，原岗位权限未随岗位变动而调整。
• 长期未使用场景：用户拥有某项权限，但在规定周期内从未使用或访问相关资源。
• 权限继承场景：通过组继承、角色继承或上级目录继承获得的权限，因继承链变动导致权限冗余。

4.2 前置条件

在执行冗余权限识别之前，必须完成以下数据准备与环境检查：

4.3 冗余判定操作步骤

4.3.1 场景一：员工离职冗余（L-冗余）

1. 标记源：从HR系统获取离职员工名单（含最后工作日）。
2. 比对范围：在IAM系统中查询以上人员所有有效账号及授权记录。
3. 判定逻辑：若员工最后工作日已超过 3天 且账号未禁用，或账号禁用后权限记录仍存在于权限继承链中，即判定为冗余。
4. 输出标记：在权限审计清单中将对应记录标记为 L-REDUNDANT。

4.3.2 场景二：岗位变更冗余（P-冗余）

1. 标记源：从HR系统获取岗位变更记录（变更生效日期、原岗位、新岗位）。
2. 比对范围：获取该用户当前IAM系统中的有效权限，同时获取新岗位的标准权限基线。
3. 判定逻辑：将当前权限集合与新岗位基线权限做差集运算。差集部分中，且不属于新岗位“临时授权”范畴的，判定为冗余。
4. 输出标记：在权限审计清单中将差集记录标记为 P-REDUNDANT。

# 差集比对伪代码示例
current_permissions = get_user_current_permissions("user_A")
baseline_permissions = get_position_baseline("new_position_id")
redundant_permissions = current_permissions - baseline_permissions
# 排除临时授权标记后，其余记录标记为 P-REDUNDANT

4.3.3 场景三：长期未使用冗余（U-冗余）

1. 标记源：各目标系统的操作日志与登录日志。
2. 窗口周期：默认采用90天（可配置）；对敏感系统（如核心数据库、代码生产库）缩短为30天。
3. 判定逻辑：逐条遍历用户权限记录，查询该权限对应的资源或功能在统计周期内的日志。若无任何访问、读取、执行或登录记录，则判定为冗余。
4. 输出标记：在权限审计清单中将对应记录标记为 U-REDUNDANT，并附上最后使用时间戳。

4.3.4 场景四：权限继承冗余（I-冗余）

1. 标记源：IAM/AD系统的组与角色继承关系表、目录权限继承配置。
2. 比对范围：用户当前有效安全组成员身份、嵌套角色分配、文件和目录的ACL继承。
3. 判定逻辑：逐层解析用户权限的继承链。若继承链上的源组或源用户已从系统中移除、或源组已失效、或继承关系已被显式阻断但仍残留权限，则判定为冗余。
4. 输出标记：在权限审计清单中标记为 I-REDUNDANT，并注明源头路径。

4.4 输入输出物

4.5 责任边界

• 安全管理员：定义冗余判定规则与统计窗口周期，审核标记清单。
• 系统管理员/应用Owner：导出系统日志与权限配置，配合完成长期未使用场景的日志采集与回传。
• 业务负责人：在岗位变更场景中确认新岗位的权限基线是否正确，并复核 P-REDUNDANT 标记是否需要转换为正式权限。
• HR系统管理员：确保员工组织关系与岗位信息实时、准确同步至安全合规平台。

4.6 记录材料

每个识别周期需形成以下记录，存档不少于2年：

• 冗余权限识别运行日志：包含执行时间、覆盖系统、扫描用户数、识别出的总冗余记录数。
• 冗余权限审计清单：包含用户账号、权限名称、系统标识、冗余类型 (L/P/U/I)、检出日期、备注。
• 岗位变更比对工作底稿：包含权限差集运算明细。
• 长期未使用日志佐证文件：关键用户权限的访问日志摘要。

【记录示例-审计清单表头】
| 用户 | 系统 | 权限 | 冗余类型 | 最后使用时间 | 检出日期 |
|------|------|------|----------|--------------|----------|

4.7 异常处理

4.8 验收标准

• 规则覆盖度：四个场景的冗余规则已配置完毕，并集成至自动化扫描任务。
• 标记正确率：在测试数据上的判定结果与人工复核结果的吻合度 ≥ 99.5%。
• 数据完整度：冗余判定所需的输入数据（HR、IAM、日志）均满足周期性自动采集，缺漏率 ≤ 1%。
• 异常标识清晰：所有异常情况已被显式标记并在审计清单中有对应字段说明。