用途：该技能提供 Microsoft Entra ID Governance 的落地指导，目标是让正确的身份在正确时间获得对正确资源的访问，自动化员工、合作伙伴与来宾的身份生命周期（JML）和访问治理。需 Entra ID Governance SKU（P2 + Governance 附加组件，或 M365 E5 + Governance）。
主要能力与选型：自助访问申请与审批用权利管理中的访问包（含来宾、赞助人或经理审批）；项目限时访问用带过期时间的访问包；治理既有特权组用 PIM for Groups（属另一技能）；敏感组成员重认证用组访问评审；应用访问重认证用应用分配评审；新员工自动预置用生命周期工作流 joiner；离职自动回收用 leaver 工作流；调岗自动调整用 mover 工作流加动态组；检测有害角色组合用访问包上的职责分离。经验法则：由人申请的访问用访问包；由 HR 属性授予的访问用生命周期工作流加动态组；直接组成员分配是遗留默认做法，通常不正确。
使用方式：先定义目录（catalogue），每个目录对应一名非 IT 业务负责人；再构建访问包，包含资源、可申请者与分配策略（审批、过期、属性要求），并确保每个包都设过期；安全配置访问评审，设定评审人、频率与“无响应”动作，默认“无响应即移除”并启用评审人升级；用 HR 属性（employeeType、employeeHireDate、accountEnabled）触发预入职（T-7 天）、入职、离职三条核心工作流；在访问包上标记不兼容组合实现职责分离；所有 B2B 来宾经访问包并设过期，定期清理无活动来宾。
适用场景：访问申请与审批自动化、周期性访问认证、JML 预置与回收、来宾治理、职责分离。不适用于风险检测（entra-id-protection）、条件访问（conditional-access-mfa）或 PIM 激活（azure-pim）。
限制与护栏：离职回收应在 HR 属性变更后 1 小时内完成；评审“无响应”不得自动批准；来宾邀请必须走访问包；职责分离仅在两个包都受治理时有效；HR 属性不可靠则工作流不触发，需先验证 HR 同步；不要把 PIM 可激活角色放入访问包。常见反模式包括预置与回收不对称、一年一次评审、评审人设为资源所有者、任意用户可邀请来宾、工作流在第一天运行、以直接组分配替代访问包。官方文档链接见 Microsoft Learn 的 ID Governance、权利管理、访问评审、生命周期工作流、职责分离、来宾访问治理与 PIM 评审页面。