阿拉丁账号许可证稽核师

这个台账为什么难盘

账号导出来自各个系统：CSV、Excel、JSON 混在一起，表头中英文混用，日期和金额格式也不一致。真正危险的往往不是显眼的那几条，而是离职后没人停用的账号、早已无人使用的共享账号、续费时按惯性多买的席位。靠人工对表，漏掉一个幽灵账号就是一次权限残留。

它是怎么跑的

核心是一条纯标准库的离线流水线，不发起任何网络请求：

• account_ingest.py：归一化入口。自动识别中英文表头别名，统一日期、金额、角色、状态，按 (系统, 账号, 使用人, 开通日) 去重并输出统计。识别不到记录时直接报错退出。
• account_audit.py：按 AC1–AC12 十二条规则逐项扫描离职未停用、幽灵账号、共享账号、超席位、许可证到期、闲置浪费。--today 指定基准日，--dormant-days（默认 90）与 --idle-rate（默认 0.3）可调。输出 0–100 评分、A/B/C/D 等级、门禁状态与 P0/P1/P2 数量。
• account_report.py：产出三件套——account_report.html 可视化报告、account_actions.md 可直接转发的整改清单、account_ledger.csv 归一化台账，另有 _audit.json 结构化结果。

数据收集阶段先确认四类输入（至少一个账号台账），产物目录建议用 -o ./out 显式指定，避免散落在工作目录里。

读报告的三层顺序

先讲风险——P0 有几条，点名具体账号；再讲钱——闲置席位的年浪费估算，作为续费前砍席位的依据；最后讲动作——把整改清单转成离职交接、续费谈判、权限回收的执行项。长期使用可以把节奏定成「每季度续费前跑一次 + 离职流程跑一次」，把一次性盘点变成常态动作。

边界要说清楚

• 只吃本地台账，不连 AWS / 微软 / 飞书后台实时拉账号
• 只出报告，不下发变更，不调用任何接口增删改线上账号
• 不读取、不破解任何口令，只盘点「谁有权限」
• 不做网络渗透或攻击性测试，属于合规自查辅助工具，不能替代专业审计或法务意见
• 浪费估算基于你提供的单价，不保证具体节省金额
• 文件缺失、空文件、表头无法识别、schema 不符都会报错退出码 2，不静默吞错
• 同输入同参数输出字节一致，便于审计留痕