用途：这是 Infisical 的访问控制与治理层技能，帮助决定“谁在进入平台后能做什么”，并让敏感操作经过审批、输出审计证据。它覆盖所有 Infisical 产品共用的治理层。
主要能力：组织与项目角色、自定义角色（subject/action 权限）、细粒度密钥权限、ABAC 条件、附加权限、assume-privilege、临时访问；变更审批与访问审批策略、访问请求、审计日志及审计日志流（6 个提供方）。
关键区分：read 对密钥比预期更粗；细粒度动作把 describeSecret（可见密钥存在与元数据）与 readValue（可见值）分开，旧版 read 同时授予两者。若需列出密钥但不看值，应给 describeSecret 而不给 readValue。no-access 是真实角色，组织与项目角色集都含它，可保留成员但不授权。
使用方式：从最小权限问题出发——该主体所需的最小权限是什么；优先用内置角色，自定义角色需维护；访问依赖属性而非身份时加 ABAC 条件；敏感项优先临时而非永久；错误代价高时用审批策略；把审计日志流到安全团队已在看的地方。角色应分配给组而非个人，入离职由身份提供方处理。
适用场景：组织/项目角色规划、自定义角色与细粒度密钥权限、ABAC、临时访问、审批策略、审计日志导出。
限制与边界：连接身份提供方登录（SAML/OIDC/LDAP）或自动开通用户属于 infisical-sso；机器身份及其认证方式属于 infisical-setup；特权基础设施账户使用前审批与会话录制属于 infisical-pam；签发证书前审批属于 infisical-pki；签名制品前审批属于 infisical-pki — Code Signing；PAM 文件夹/账户角色属于 infisical-pam；PKI 应用或签名者角色属于 infisical-pki。SCIM 组开通属于 SSO，但组映射到的角色在此。审批策略按环境与路径生效，应只覆盖真正需要审查的范围，全量审批会导致橡皮图章。不要为消除权限错误而放宽权限，应定位缺失的具体 subject/action。
参考文件：references/roles-and-permissions.md 涵盖角色、自定义角色、权限主体与动作、细粒度密钥动作、ABAC、附加权限、assume-privilege、临时访问；references/approvals-and-audit.md 涵盖变更审批与访问审批策略、访问请求、审计日志、审计日志流及其 6 个提供方。