构建可扩展的权限管理体系：新人 5 分钟开通、权限变更可审计、零长期密钥。本文覆盖组策略设计、OIDC 免密 CI/CD、Permission Boundary 防越权三层防御。前言AWS 账号被攻破的头号原因不是外部入侵，而是内部权限管理混乱：AK/SK 泄露到代码仓库、过于宽泛的*:*权限、离职员工 Key 未回收。最小权限的本质是：每个身份只能做它必须做的事，不多不少。本文记录了我们从"人人 Admin"到"三层防御体系"的完整改造过程，适合 10-50 人研发团队的 AWS 权限治理。一、IAM 身份选型：能不用 Key 就不用身份类型适用场景凭证生命周期推荐度OIDC RoleCI/CD 流水线临时（1h 过期）⭐⭐⭐EC2/ECS Role应用运行时临时（自动轮换）⭐⭐⭐