离职员工 SaaS 权限没回收怎么做访问审计

这周做离职账号复核，发现 HR 系统里已经离职的两个人，在一个项目管理 SaaS 里还保留了只读权限。权限不高，但里面有客户项目名称和附件，安全上不能当小事。 排查时我没有直接锁全公司账号，而是把 HR 离职清单、Okta 用户状态、SCIM 同步日志和 SaaS audit log 拉出来对。最后发现这两个账号当初是 contractor 身份，没走统一 group mapping，离职后 IdP 禁用了登录，但第三方系统里本地 session 和 API token 没被清掉。我们先 revoke token，再把该供应商应用纳入 quarterly access review，并补了一条"非员工身份也必须进统一 group"的规则。 我的体会是，访问审计不能只看管理员列表。真正容易漏的是例外账号、临时供应商、手工邀请的 guest。同行如果在做 SaaS 权限治理，建议把 sour…