用途：对特权账户进行系统性访问审查，验证用户是否仍需要高权限，识别过度权限与陈旧账户，推动最小权限落地。适用于安全评估、相关安全事件响应、计划性安全测试或审计，以及通过实操验证安全控制。
主要能力：覆盖域管理员、服务账户、云 IAM（如 AWS root、Azure Global Admin、GCP Owner）、数据库管理员、应用管理员及应急/破窗账户等类别，并按风险等级给出建议审查频率。采用发现、验证、修复、监控四支柱框架：枚举特权账户、识别孤立账户、映射权限到业务角色、按风险分类；核实业务理由、账户归属、策略合规与最近使用情况；移除多余权限、禁用孤立账户、轮换密码、实施 JIT 访问；持续监控、异常检测、会话录制与审计日志。
使用方式：先完成账户发现与清单（Active Directory 中 Domain Admins 等组、AdminCount=1 账户、带 SPN 的服务账户、委派权限账户；云平台高权限用户/角色；数据库固定角色如 sysadmin、db_owner、DBA、superuser 等）。再建立审查标准（业务理由、最小权限、90 天活动、合规状态、职责分离、归属）。由指定审查人逐账户批准、撤销、标记调查或上报，按决策矩阵处理。审查后执行修复：未在 SLA 内认证的账户撤销访问，14 天未审查自动撤销，轮换已认证账户凭据，将常驻权限转为 JIT，更新 PAM 保管库。最后生成报告，包含审查总数、认证率、平均完成时间、逾期与升级、修复动作及与上轮对比。
适用场景：SOC 2、PCI DSS、HIPAA、SOX 等合规要求的定期审查，高权限账户通常需每季度审查。
限制：需已部署 PAM 方案（CyberArk、BeyondTrust、Delinea 或同类）、身份治理平台（SailPoint、Saviynt 或同类）、完整特权账户清单、含 SLA 与升级流程的审查策略及指定审查人。资料未提供具体命令、脚本或自动化实现细节。