云上权限：最重要的规则是最小化

原则

每个服务有自己的身份，权限精确到位；人通过角色获得临时访问权，而不是固定密钥；所有管理账号强制双因素。

根账号锁起来，日常不使用。

避免权限蔓延

「只是为了测一下」而给出的权限会永远留着。设一个有效期，并周期性审查谁实际访问了什么——云上的工具能指出从未被使用过的权限，而那正是最值得删掉的清单。

隔离

生产环境和其他环境用不同的账号或项目。强隔离能防住那个常见场景：一个开发脚本碰到了真实数据。