用途
本技能用于实施周期性的访问审查（Access Review）与访问认证（Certification）流程，覆盖 AWS IAM、GitHub、Okta 及其他身份提供商。其目标包括：为合规审计（SOC 2、HIPAA、PCI DSS、ISO 27001）开展季度或年度访问审查、识别并移除过期账号与未使用凭证、认证当前访问级别与岗位职责相符、检测过度权限与休眠服务账号、为审计方的访问治理请求生成证据。
主要能力
访问审查流程按以下阶段组织：
-
范围界定（scope）：定义审查周期内的系统范围、确定审查负责人（管理者、系统负责人）、设置时间线与截止日期、从所有身份源生成访问清单。审查频率建议为：特权访问每季度、标准访问每半年、服务账号每季度、API 密钥每月。
-
数据提取（extract）：从所有系统拉取当前访问数据，通过 SSO 映射跨平台关联身份，补充最后登录与活动数据，标记需要审查的账号（不活跃、权限过高、孤立账号）。
-
审查（review）：将审查项分配给相应管理者，由管理者对每个用户的访问进行认证（批准/撤销/修改），按风险优先级排序（特权用户优先审查），截止日期后对未响应者进行升级。决策类型包括 approve（访问适合当前角色）、modify（需调整访问范围）、revoke（不再需要访问）。
-
修复（remediate）：撤销被标记移除的访问、按审查人指示修改访问、记录带理由的例外情况、与系统负责人确认变更。SLA 为：撤销在决策后 5 个工作日内完成，修改在 10 个工作日内完成，例外需安全团队批准、有文档记录且有时限。
-
报告（report）：生成完成指标（已审查百分比、按时完成百分比）、记录所有决策与操作、归档合规审计证据、识别下一周期的流程改进点。
技能提供了 AWS IAM、GitHub、Okta 的访问审查脚本，用于生成凭证报告、识别未启用 MFA 的用户、检测 90 天以上未使用的访问密钥、列出管理员策略用户、识别跨账号信任角色、提取 GitHub 组织成员与外部协作者、Okta 活跃/挂起用户与应用分配等。还包含基于 CloudTrail 与 IAM Access Analyzer 的未使用权限检测脚本，以及通过 GitHub Actions 实现的季度访问审查提醒与跟踪自动化，可按季度生成报告并创建审查 Issue 与上传归档产物。
使用方式
技能以工作流定义（access_review_workflow）和配套脚本形式提供，需按范围界定、数据提取、审查、修复、报告的顺序执行。脚本依赖对应的云平台 CLI 与凭证（如 AWS CLI 凭证、GitHub CLI 的 gh、Okta 的 OKTA_DOMAIN 与 OKTA_API_TOKEN 环境变量）。自动化流程可通过 GitHub Actions 定时触发，将报告作为归档产物保留。具体安装命令与包管理命令资料中暂未提供。
适用场景
适用于需要定期访问治理的企业安全与合规团队，典型场景包括合规审计前的访问证据准备、季度/年度权限复核、离职与转岗账号清理、特权账号与服务账号盘点、外部协作者与承包商访问核实。
限制
资料未说明支持的云平台或身份源的完整列表、脚本在非 AWS/GitHub/Okta 环境下的适配方式、价格与收费模式、以及性能或规模上限，这些信息暂未提供。脚本中的具体账号、组织名与分析器 ARN 均为示例占位值，实际使用需替换。