构建可扩展的权限管理体系：新人 5 分钟开通、权限变更可审计、零长期密钥。本文覆盖组策略设计、OIDC 免密 CI/CD、Permission Boundary 防越权三层防御。
前言
AWS 账号被攻破的头号原因不是外部入侵，而是内部权限管理混乱：AK/SK 泄露到代码仓库、过于宽泛的 *:* 权限、离职员工 Key 未回收。
最小权限的本质是：每个身份只能做它必须做的事，不多不少。
本文记录了我们从\”人人 Admin\”到\”三层防御体系\”的完整改造过程，适合 10-50 人研发团队的 AWS 权限治理。
一、IAM 身份选型：能不用 Key 就不用
| OIDC Role | CI/CD 流水线 | 临时（1h 过期） | ⭐⭐⭐ |
| EC2/ECS Role | 应用运行时 | 临时（自动轮换） | ⭐⭐⭐ |
