用途：审计企业范围内服务账号，发现孤立账号、权限过高账号和不符合策略的账号，并强制执行生命周期管理。
主要能力：
- 发现在 Active Directory、云平台、数据库和应用中的服务账号；查询 AD 中设置了 ServicePrincipalName 的账号、特权组账号、PasswordNeverExpires 标记账号，区分 gMSA 与传统服务账号；AWS 检查 IAM 用户访问密钥及最后使用日期，Azure 枚举服务主体、应用注册和托管标识，GCP 列出服务账号并检查密钥年龄和未使用权限。
- 评估：标记管理员/特权组成员，按 90 天轮换策略检查密码年龄，识别 90 天以上无登录活动的账号，对照 CMDB/资产清单核实归属，检查共享凭据。
- 风险分级：严重（域/云管理员权限且无密码轮换）、高（可访问敏感数据且无负责人）、中（标准服务权限且密码超 90 天）、低（只读且使用托管凭据）。
- 修复：验证依赖后禁用孤立账号，将传统服务账号尽可能转为 gMSA，轮换超期凭据，按最小权限降权，分配负责人并记录依赖关系。
使用方式：适用于安全评估、事件响应、计划性安全测试或审计，以及通过实操验证安全控制时。需熟悉身份访问管理概念与工具，具备测试或实验环境、Python 3.8+ 及依赖，并获得测试授权。
限制与注意事项：未提供具体命令或代码示例；禁用服务账号前须先验证应用依赖，避免遗漏 Active Directory 之外的服务账号、云服务主体和托管标识，检查服务账号的交互式登录权限，修复前应记录依赖关系。对照 NIST 800-53 的 AC-2、AC-2(3)、AC-6、IA-5、AU-6 控制项。