等保测评中，身份与访问控制相关的条款集中在身份鉴别、访问控制、安全审计三个方向。真正卡住项目的，通常不是缺功能，而是拿不出连续、可核验的记录。
三类可用证据
1. 账号全生命周期记录
从创建、变更到停用的完整流水，包含操作人、时间与来源。手工台账难以做到连续，平台日志天然具备。
2. 权限合理性证明
周期性的访问认证记录：谁在什么时候确认了哪些权限，未确认的如何处理。这比一份静态权限清单有说服力得多。
3. 登录与操作审计
成功与失败的登录、MFA 触发明细、管理员配置变更。需要能按人、按时间、按应用检索并导出。
准备顺序建议
- 先梳理应用清单与账号清单，明确边界
- 确认权威身份源，消除「同一人多个账号」
- 开启并保留审计日志，确认留存周期满足要求
- 建立周期性权限评审机制，留下第一轮记录
- 最后才是补制度文档，让文档描述现实
顺序反了就会变成：文档写得很完整，一问记录全是空的。
常见缺口
共享账号：无法追溯到人，是最容易被开具不符合项的点。离职未回收：需要能证明回收时效。特权账号：是否有独立的更强认证与操作留痕。
这三项如果能在平台上直接导出证据，测评阶段的沟通成本会显著下降。
