第1章：权限清单建立

本章定义如何从零搭建系统级权限资产清单，涵盖数据来源确认、同步周期设定与清单初始化流程。权限清单一经建立，将作为后续所有清理动作的基线，其准确性与完整性直接决定冗余权限治理的成败。

1.1 适用场景

• 组织首次启动权限治理项目，无存量权限清单可复用。
• 合规审计（如等保2.0、SOX、GDPR）要求提供完整权限台账。
• 季度/年度权限盘点前需重建或刷新清单基线。
• 系统合并、拆分或迁移后，权限归属关系发生大规模变更。

1.2 前置条件

1.3 操作步骤

1. 识别系统资产范围：梳理组织内所有涉及身份与访问控制的系统，包括IAM平台、OS（Linux/Windows）、数据库、中间件、SaaS应用、自研微服务。
2. 确定数据来源类型：按系统适配采集方式——LDAP/AD域控制器、数据库系统表、配置文件、API端点、审计日志。
3. 编写采集脚本或配置采集任务：每个来源执行一次全量账号及角色映射查询。
4. 执行首次全量采集：将所有结果统一落盘至安全数据湖或临时目录。
5. 结构标准化：将异构字段映射为统一模型（见1.4 输入输出物）。
6. 校验数据完整性：逐系统比对采集行数与源系统计数，差异率需控制在0.1%以内。
7. 设定同步周期与策略：按系统风险等级配置全量/增量周期。
8. 归档基线快照：对首次清单进行版本标记并上传至配置管理库。

# 通过SSH跳板机批量采集所有服务器 /etc/passwd 和 /etc/shadow
for host in $(cat server_list.txt); do
  ssh -o ConnectTimeout=5 "$host" '
    echo "=== HOST: $(hostname) ==="
    awk -F: "{print \$1,\$3,\$6,\$7}" /etc/passwd
    echo "---GROUPS---"
    getent group | awk -F: "{print \$1,\$3,\$4}"
  ' >> raw_collection/$(date +%Y%m%d)_linux_accounts.txt
done

1.4 输入输出物

1.5 责任边界

1.6 记录材料

• 采集执行日志：包含时间戳、系统名、采集行数、错误码。
• 数据完整性校验报告：源系统计数 vs 清单计数对比表。
• 同步周期配置记录：全量周期（高风险系统：每24h；中风险：每72h；低风险：每周）及增量周期（每1h/每6h/每24h）。
• 基线快照标签：格式 perm_baseline_v{YYYYMMDD}_{系统缩写}。

1.7 异常处理

1.8 验收标准

• ✅ 覆盖所有已识别的生产与非生产系统，无遗漏项。
• ✅ 每条账号/角色记录包含唯一标识、状态、采集时间戳。
• ✅ 清单总行数与各源系统独立统计的行数偏差 ≤ 0.1%。
• ✅ 同步周期配置已录入CMDB或自动化调度平台，且首次全量基线快照已版本标记归档。
• ✅ 异常记录均有对应工单或告警编号，且48小时内已响应。