离职账号未及时回收，是审计报告里最常见的高危项。人工流程的问题不在于员工不负责，而在于它依赖记忆。
三态自动化
- 入职：HR 系统建档后，自动创建账号、加入对应组、分配应用并发出首登引导。
- 调岗：属性变化触发重算，旧权限按规则回收，新权限自动授予。
- 离职：状态置为停用，会话立即失效，下游应用通过 SCIM 同步禁用。
可观测性同样重要
每一次开通与回收都要留下记录：谁触发、多久完成、哪些应用失败。没有这条链路，自动化在审计时依然说不清。
生命周期管理 Lifecycle
入职即开通，离职即回收
以 SCIM 与连接器实现账号的自动创建、变更与停用。把离职账号回收从「人力提醒」变成「流程必然」。