实验 08 转岗离职与清理#

Bob 转岗与离职#

先在实验中模拟从开发转为 QA：管理员移除旧组成员关系，再加入新组。验证旧职责的访问消失，新职责按设计获得访问；不要只增加新角色。

再模拟离职：

1. 身份管理员停用 Bob 实验账号，按身份系统能力处理会话与恢复方式。
2. 组管理员清理成员关系，云权限管理员检查项目与资源上的直接授权。
3. 检查 Bob 能否impersonate 任何 SA、管理密钥、修改应用或发布流程；清理这些间接路径。
4. 撤销代码仓库和外部流水线访问，复查已签发凭据和可能接触过的长期密钥。
5. 记录传播时间和复测结果。不要用“退出 CLI 登录”代替云端撤销，也不能承诺已发出的凭据一瞬间全部失效。

人员离职要撤掉其访问路径，而不是删除仍承载业务的 SA。 检查组、直接授权、impersonation、密钥及发布权；发生凭据暴露时另行撤销或轮换。

定期复查#

按表逐项记录负责人、业务用途和证据：权限组及其管理者，高权限直接绑定，SA 的运行者与impersonate 使用者，Custom Role，条件授权，Deny 例外，组织策略覆盖，长期密钥，日志查看者和紧急恢复途径。

短期未使用不一定代表可以删除；先联系职责负责人核对。审查 IAM 变更时，把“谁能 setIamPolicy”“谁能改组”“谁能部署任意代码”视为敏感能力。

清理顺序#

本教程不提供一键删除组织或项目脚本。根据实验记录逐项清理自己创建的资源，不能对已有业务资源套用下面步骤。

1. 若第 06 章 Deny 尚未撤销，先撤销本实验 Deny，恢复测试应用；移除到期日志绑定及额外测试绑定。
2. 按原记录恢复实验增加的项目级组织策略覆盖；不关闭原本存在的父级约束。
3. 移除仅用于教学的 Token Creator、Service Account User、服务调用及 QA 报表读取绑定，删除实验外部联合认证信任。
4. 删除实验 Cloud Run 服务。确认它确为本实验资源后执行：

gcloud run services delete "$SERVICE" --project="$PROJECT_ID" --region="$REGION"

5. 在 Storage Console 核对两个 Bucket 的数据均为虚构实验数据后，删除对象和 Bucket。注意对象版本、soft delete 和保留策略可能影响彻底清理及费用，不声称删除页面对象就立即停止全部计费。
6. 删除实验 Secret 与镜像仓库，再清理运行 SA、部署 SA 和自定义角色。先确认没有其他应用依赖它们。
7. 删除实验项目/文件夹之前，检查项目 IAM、账单和资源清单；项目删除是独立操作，不能将清空应用视为已经删除项目。
8. 清理本实验建立的 ADC 和 CLI 配置，以及实验账号、组。保留管理员恢复路径直到所有清理结束。

针对本实验创建的独立身份配置，可在确认不会影响其他实验后运行：

gcloud auth application-default revoke
# 先切换到其他已存在的配置，再删除 acme-iam-lab 配置。
gcloud config configurations list

gcloud 配置与认证存储不是同一概念，删除配置不等于撤销已授权账号或所有令牌。

最终验收#

完成 设计文档 中十二个问题，提交一张实际授权关系图与一份成功、失败各至少一次的证据。没有执行的扩展实验标记为“推演”，不能标记为已验证。

参考：SA 安全实践、访问传播。

上一章 · 教程目录 · 下一章