用途：Microsoft Entra Permissions Management 是云基础设施权限管理（CIEM）方案，在单一界面中为 Azure、AWS、Google Cloud 提供身份、操作和资源权限的可见性与控制。本技能用于多云环境发现并收敛过度、未使用和过高的云权限，推进最小权限；若仅涉及 Azure RBAC 选择，资料建议改用 azure-role-selector。
主要能力：权限蔓延指数（PCI，0-100，>65 为高风险）量化过度授权；基于 90 天活动的权限合理化报告对比已授予与已使用权限；按身份、按云自动生成最小权限策略；基于审批、限时的按需权限申请；异常检测告警（首次出现操作、批量操作）；非人类身份报告（服务主体、IAM 角色、GCP 服务账号）。经验做法是先处理 PCI>65 的身份和非人类身份报告。
使用方式：接入各云——Azure 订阅（单个或多个）、AWS 账户（按账户或 AWS Organizations）、GCP 项目，通过只读角色采集权限与活动数据；验证各云账号数据收集器状态为绿色且 24 小时内活动事件流通。以至少 90 天活动为基线（覆盖月末结算、审计等季度周期），再按 PCI 排序，先处理前 20 个最高 PCI 身份；优先处理非人类身份；用基于活动的策略生成器做权限合理化，审阅差异后先在测试工作负载应用再上生产；对高权限但少用的权限改为按需申请；开启异常检测并将告警流式发送到 Sentinel 供 SOC 关联。
适用场景：多云权限发现与最小权限改造、工作负载身份治理、权限风险量化与月度 PCI 变化跟踪。
限制与注意：合理化前须验证活动基线覆盖代表性周期（至少 90 天），否则可能漏掉季度或月末工作流导致故障；先在非生产负载测试；不要对 break-glass/紧急访问角色做合理化，需记录例外；修复需与工作负载负责人协调；PCI 是风险评分而非权限数量。常见反模式包括仅用两周数据、只做最易报告、先改人类身份、自动生成策略直接上生产、一次只接入一朵云、只看仪表盘不修复。
参考（Microsoft Learn）：概述 https://learn.microsoft.com/entra/permissions-management/overview；接入 Azure/AWS/GCP、PCI 仪表板、权限合理化报告、异常检测均有对应文档链接。