协议怎么选、权限怎么收、审计证据怎么准备。写给正在推进身份项目的技术与安全团队。
零信任不是买一套设备，而是重新回答「谁在访问什么」。在绝大多数企业里，投入产出比最高的起点不是网络分段，而是身份入口的统一。
离职账号没有及时回收，几乎是每份审计报告都会提到的高危项。SCIM 能把这件事从「依赖提醒」变成「流程必然」，前提是把三态映射设计对。
一个管授权，一个管认证。混淆这两个概念，会导致把访问令牌当身份证用——这是 API 安全里最常见的错误之一。
