用途：该技能面向身份与访问管理（IAM）领域，指导员工与机器身份的生命周期治理，包括入职/转岗/离职、承包商、服务主体；设计 RBAC、ABAC、PBAC 权限模型、角色与权限集，落实最小权限；开展访问审查与再认证，如活动范围、基于风险的抽样、经理确认；架构 SSO 联合，涉及 SAML、OIDC、SCIM 配置与应用接入；实施特权访问，包括 PAM 保险库、JIT 提权、会话录制、应急访问策略；编写云 IAM 角色、策略、权限边界与信任关系（AWS/GCP/Azure）；治理服务账号与密钥；定义职责分离矩阵与有害组合检测；与 GRC 协作对齐审计与风险叙事。
主要能力与工作流：一是范围与治理模型，明确身份域、RACI 及与云安全、运维的边界；二是身份生命周期与访问治理；三是权限与授权模型设计；四是联合与 SSO 协议；五是特权访问与 PAM；六是云 IAM 与最小权限。产出物包括权限目录、访问审查活动、联合设计、PAM 策略、云 IAM 策略集、SoD 矩阵、服务账号标准等。
使用方式与限制：该技能有明确的适用与不适用边界。多业务单元着陆区、CCoE、EA 或高管云治理应转向 enterprise-cloud-architect；组织 SCP、CSPM、网络分段、KMS 项目应转向 cloud-security-engineer；访问工单履行、密钥轮换手册、补丁、恢复应转向 cloud-system-administrator；仅 CI OIDC 与流水线扫描关口应转向 devsecops；风险评分与风险登记册应转向 security-risk-analyst；授权渗透测试应转向 penetration-tester；法律解释、雇佣政策或合同修改应转向 commercial-counsel。官方未提供具体安装命令、收费价格、平台支持和实际效果数据，暂未提供。