临时请外包处理站点问题，直接给了主账号密码，事后想想风险太大，又不知道该怎么开权限。
把日志和配置对完，能解释这个现象的基本就这几处。主账号权限过大，误操作无法限制。另一种情况是外包只需要特定实例和特定操作。
少数情况下是没有操作审计，出了问题查不到人。
先按需要创建子账号
echo '在访问控制中新建子用户'只授予指定实例的运维权限
echo '按资源范围绑定策略'要求开启多因素认证
echo '在子账号安全设置中开启'剩下的就是核对操作审计记录
echo '在操作审计中查询记录'我习惯把每一步的执行时间和结果记在一边，后面复盘省事。
改完先别撤，确认这几项。外包只能操作授权范围内资源，所有动作都有审计记录可查。
临时共享主账号密码是最大的安全隐患；任务结束后立即回收权限，别让临时账号长期存在。拖得越久，排查成本越高，因为现场状态会被后续操作覆盖。