统一身份接入与离职权限回收

选择受控测试主体，记录稳定用户标识、部门岗位、申请人、审批人和到期时间。分别列出 GitLab 项目动作、JumpServer 资产及连接动作、Kubernetes 命名空间及资源动词，明确拒绝清单。人员、机器人、服务账号和紧急账号分列，不用展示名或邮箱前缀直接合并身份。

确认 LDAP 实现与版本、证书链、主机名和搜索基准；使用仅读必要属性的绑定账号，不向应用暴露目录管理员身份。下面只读取单一测试用户，需预先配置可信 CA 并替换批准占位符，使用交互密码且不得扩大为全员导出。

ldapsearch -LLL -x -ZZ -H 'ldap://<DIRECTORY_HOST>' -D '<READONLY_BIND_DN>' -W -b '<APPROVED_BASE_DN>' -s one '(uid=<TEST_UID>)' dn uid

按所用版本和许可核对 GitLab LDAP 接入与组同步能力，先用测试主体确认登录，再逐项目检查角色和继承关系。分别登记个人访问令牌、SSH key、部署密钥、项目及组令牌的实际持有者和用途，不默认这些对象全部随人员目录状态同步变化。

核对测试用户来源、LDAP 同步范围、资产授权、有效期和允许的上传下载动作。检查本地认证是否构成额外登录路径，确认会话审计存储可用。严格模式和全量同步可能影响未被目录发现的用户，应先比较候选差异清单，不在目录故障时直接扩大同步范围。

记录所选认证机制如何产生用户名和组，再映射到最小 Role/RoleBinding；LDAP 本身不是通用 kube-apiserver 登录配置。下面命令使用测试主体自己的受控 kubeconfig，只查询授权决定，不执行被查询动作。若借助管理员 impersonation，则另行审批并记录被模拟主体和组。

kubectl --kubeconfig '<TEST_KUBECONFIG>' auth can-i get pods -n '<APPROVED_NAMESPACE>'
kubectl --kubeconfig '<TEST_KUBECONFIG>' auth can-i delete deployments -n '<APPROVED_NAMESPACE>'
kubectl --kubeconfig '<TEST_KUBECONFIG>' auth can-i get secrets -n '<UNAUTHORIZED_NAMESPACE>'

在批准时间对测试主体演练冻结新授权、目录禁用、GitLab 成员及个人凭据清点、JumpServer 资产回收与会话处理、Kubernetes 绑定及认证凭据处置。对非人员服务账号先转交所有权并评审轮换窗口，防止误停发布与监控任务。每个系统都记录实际生效时间，不只记录工单点击时间。

若目录状态已变但应用仍允许访问，依次检查本地登录、同步延迟、缓存、成员继承、长期令牌和独立证书。若所有人登录失败，检查目录网络、TLS、绑定身份和同步范围，不先改所有人的密码。以受控测试请求核实拒绝，保护查询日志中的个人数据。

将台账、审批、目录状态、各系统拒绝结果、令牌及会话处置记录交给身份与业务负责人。约定转岗、离职、长期未使用和紧急授权到期的复核触发条件，明确同步失败告警和人工兜底；文档公开部分只含脱敏流程，人员清单存于受控位置。