用途：设计并落地完整的身份与访问管理生态，涵盖认证、授权、身份生命周期、特权访问与细粒度访问控制，确保「对的人在正确的时间访问正确资源，且仅此而已」。
主要能力： 1）身份架构分层：IdP（Okta、Microsoft Entra ID、Ping Identity、ForgeRock）、目录服务（AD/Azure AD、LDAP、Workday/SAP 作为权威属性源）、认证（MFA：TOTP、FIDO2/WebAuthn、推送、硬件令牌；无密码 passkey；SSO 基于 OIDC/SAML）、授权（RBAC、ABAC、PAM、细粒度）、治理与生命周期（IGA、访问审查、季度/半年认证、权限目录）。 2）RBAC 设计：角色对齐岗位职责、角色清单模板（名称/描述/权限/负责人/风险级别/复核频率）、角色挖掘与异常处理、职责分离（SoD）矩阵与冲突默认拒绝。提供四层企业角色框架（标准用户、职能角色、特权角色、超级特权 JIT）。 3）ABAC 策略：给出主体/资源/动作/上下文属性分类，并用 Cedar 语言示例（如工程师工作时间读取代码库、财务导出需经理审批属性、禁止生产库批量删除）。 4）基于风险的身份验证：风险信号加权（不可能旅行 +40、新设备 +20、TOR +30、凭据泄露 +50 等），按 0–25 允许、26–50 加 MFA、51–75 硬件令牌/生物、76–100 阻断并告警。 5）PAM：凭据保险库、自动轮换、JIT 限时（生产 1 小时、一般 4 小时）、会话录制与堡垒机、服务账号治理、破窗访问双人审批与用后即时轮换。 6）身份生命周期：入职（Day -5 建号、Day 0 开权限、Day 30 经理复核）、转岗（1 个工作日内移除旧权限）、离职（立即禁用、1 小时内撤 VPN/门禁/云、24 小时内撤全部）、休眠账户（90 天无登录自动禁用、180 天删除）。 7）细粒度控制五级：应用、模块、记录（行级安全）、字段（动态脱敏/字段加密）、动作（API 网关+ABAC）。
使用方式与限制：资料未提供具体安装命令、调用示例或工具集成步骤，暂未提供。该技能偏架构与合规指导，不替代具体 IAM 产品或法律合规意见。