数据库账号权限怎么盘点：多引擎权限基线证据表
面向安全负责人、DBA和IT运维团队，用一张可下载工作表盘点数据库账号、角色继承、权限范围、高权、共享账号、授权依据、到期与审计证据，再决定是否进入变更。
权限盘点先回答谁能登录、通过哪些角色获得什么范围的权限、为何需要、何时到期和能否追溯；发现高权不等于可以立即回收。
适用对象
- 先记录数据库引擎和版本；MySQL、PostgreSQL、Oracle与SQL Server的权限层级、角色和高权名称并不相同。
- 把直接授权、角色继承、对象范围、业务用途、责任人、到期时间和最近使用证据放在同一行复核。
- 共享账号、超管或ANY/CONTROL类高权是风险信号，但回收前仍要核对应用依赖、应急责任和回滚方案。
- 公开工作表只保存脱敏编号和受控证据引用，不要求客户账号、完整权限导出或认证凭据。
READ AND ACT
不必读到文末，现在就可以做下一步
先下载只读工作表或完成 5 分钟自查；只有需要固定范围人工判断时，再查看数据库健康体检。
这些入口不要求提交数据库、SQL、日志或公司信息；服务范围和资料边界以目标页面说明为准。
数据库权限盘点，至少要把哪几类证据放在一起
先还原“主体—角色—权限—对象—用途—责任—期限—审计”链路，再讨论是否调整。
单看账号名或某一条权限记录，无法判断有效权限。角色可能继续继承其他角色，高层级权限也可能覆盖更细对象；临时账号还需要授权依据和到期时间。
工作表不要求上传完整权限导出。首轮可以先填写脱敏主体、权限类别、范围和证据状态；需要原始材料时，只记录受控位置的引用。
| 证据组 | 填写内容 | 可以帮助判断 | 不能直接证明 |
|---|---|---|---|
| 环境与版本 | 引擎、版本、环境、认证边界 | 应该按哪套权限语义复核 | 不能证明账号实际使用 |
| 主体 | 脱敏账号、类型、登录能力、共享状态 | 谁可能获得访问能力 | 不能替代身份系统证据 |
| 角色关系 | 直接角色、间接继承、默认或启用边界 | 权限可能从哪里传递 | 不能忽略版本差异 |
| 权限与对象 | 层级、权限类别、对象范围、高权标记 | 权限覆盖面是否过宽 | 高权不等于可以立即回收 |
| 用途与责任 | 业务动作、系统、责任组、应急用途 | 权限是否有明确必要性 | 口头用途不能替代批准 |
| 时间 | 最近使用、授权日期、到期与复核日 | 是否存在长期闲置或临时权未回收 | 缺少日志不等于未使用 |
| 审计与批准 | 授权依据、批准角色、审计状态 | 是否可追溯和可复核 | 不等于满足正式合规认证 |
| 候选动作 | 保留、收窄、拆分、到期、补证据 | 进入后续变更评审 | 不能自动触发生产变更 |
从权限快照到人工变更决定
先锁定版本与环境，再还原角色和权限范围。发现风险后补齐业务依赖、责任和审计证据，最后才决定是否进入权限变更；每个生产动作都需要单独批准、验证和回滚边界。
权限基线五步复核
- 01
01
锁定范围
记录引擎、版本、环境和本轮允许查看的对象。
- 02
02
脱敏盘点
用编号记录账号、角色继承、权限层级和对象范围。
- 03
03
核对用途
补齐业务动作、责任组、最近使用、批准和到期证据。
- 04
04
标记风险
识别共享、高权、无责任、无期限和不可审计等候选问题。
- 05
05
人工决定
保留、补证、收窄或回收均进入独立变更评审。
本流程不自动修改权限、锁定账号、删除账号或宣称完成正式审计。
下载权限基线证据表
CSV可直接导入表格工具。没有证据的字段应标记为“待核对”，不要用猜测补齐；真实账号和授权原文只放受控位置。需要有人审的风险分级和整改Top 5时，可继续进入B-HC固定范围服务。
本节判断
- 首轮只使用脱敏编号、权限类别和证据引用。
- 跨引擎字段用于统一盘点，不替代各版本官方权限定义。
- 权限调整、审计配置和合规结论不属于本工作表自动输出。
参考依据
以下来源用于确认市场趋势、政策背景和术语边界；具体落地方案仍以客户的数据范围、权限和交付目标为准。
常见问题
发现超管或ANY/CONTROL类高权后，可以直接回收吗？
不可以默认回收。应先核对应用、作业、备份、审计和应急依赖，再由系统与安全责任人批准独立变更和回滚方案。
为什么要记录数据库版本？
不同引擎和版本的权限名称、角色继承与内置能力会变化。跨引擎工作表只负责统一证据结构，具体判断必须回到对应版本官方文档。
这张表能证明已经通过等保或安全审计吗？
不能。它只是权限基线盘点工件，不替代正式测评、审计、渗透测试、整改验收或监管结论。