把职责对应到角色
从这个人做什么出发，选能覆盖它的最窄角色。每个角色持有哪些权限，参见权限参考。
通过访问授权把角色授予团队，而不是逐个授予个人，访问权就会随团队成员关系变化。
通过单点登录接入
- 在身份与访问 → SSO 服务商中连接公司的身份服务商，并用 认证平台用户组 → 本平台角色 把它的用户组映射到角色。之后每次登录，角色都跟随目录同步。
- 把 默认角色 设为 Viewer，给没有命中任何用户组的人。
- 添加公司的邮箱域名，让邀请和单点登录只接受这些地址。
- 关闭自助加入，或保留它并开启 需要管理员审批。
[auth].root_email 对应的账号，是平台管理员，使用密码登录。把密码保存在密码库中，只在单点登录不可用时使用这个账号。
只对一个资源、在一段时间内授权
有些需求范围小而且是临时的：外包同事只看一个仪表盘，分析师只查询一个数据流。在该资源上创建带 到期时间 的访问授权，而不是给整个工作区的角色。环境 限制条件（例如staging）会进一步把授权限定在该环境的请求上。
对于其他组织的人，跨组织共享在对方组织的管理员接受后，允许访问选定的仪表盘或数据流。它只对选定的资源和组织生效，不会被转授。
用团队承载归属
团队不只是一群人：值班排班和升级步骤、兜底路由，以及 Mole Agent 的团队对话、知识、技能和 MCP 服务器都引用团队。为每个负责服务、接收告警的小组建一个团队，人员变动时及时更新成员。给程序独立的身份
每个集成一个服务账号：集成下线时停用它的账号，账号下的所有 Token 都会随之失效。人创建的每个 Token 都要设置有效期，永远不要把登录会话交给程序。
定期复核访问权限
每个季度以及有人离开时：- 在用户中停用已离开的人，并查看 最后活跃，找出不再使用的账号。
- 在 API Token 中撤销近期没有使用、或属于已离开人员的 Token。
- 在访问授权中删除已经不需要的授权。
- 在审计中查看角色、授权、Token 和设置的变更。
- 检查共享策略和现有的公开链接。
验收标准
- 大多数人持有 Viewer，每个 Admin 和 Owner 都是有意为之。
- 人员通过单点登录登录，角色跟随目录用户组。
- 每个程序都使用服务账号或接入 Token，从不使用某个人的会话。
- 没有超过有效期策略的 API Token，不再使用的 Token 都已撤销。
- 季度复核有日期、有负责人，并在审计记录中留痕。