今天做季度权限复核，怎么让审批人看得懂

今天下午做季度 access review，几个部门经理看到导出的权限表都说看不懂，里面只有 app code、role id 和一堆缩写。以前这种复核很容易被他们全部点通过，实际没有达到 least privilege 的目的。我先把权限按系统、业务动作和风险等级重新整理，把"能导出客户资料""能审批退款""只读报表"这些动作翻译成普通业务语言，再把长期未使用的账号单独标出来。处理过程没有直接替经理决定，而是让他们按岗位确认是否还需要。经验是权限复核不是把表丢出去收签名，关键是让业务负责人理解每个 role 代表什么。建议同行做 SSO 或 IAM 审核时，提前准备字段说明、使用记录和建议动作，审批质量会高很多。后面我也把这套格式存成模板，下次 review 不用重新整理。