三段位存取政策
這一頁解決什麼
Section titled “這一頁解決什麼”身分驗過之後，輪到政策決定能不能連。第 02 層把「連線前要不要先過一道」變成資產層級的設定： 每台資產可以設直連、填事由、須核准三個段位，沒設定的跟隨全域預設。 政策掛在資產本身，不掛組織結構，所以一台機器搬到哪個節點都不影響它的段位。
| 段位 | 行為 |
|---|---|
| 不需申請 | 有授權就能連 |
| 填寫理由即可連線 | 填事由後即時放行，事由進紀錄 |
| 需審核人核准 | 建立申請單，核准之後才拿得到限時授權 |
政策閘位在連線票的簽發點，在授權檢查之後執行，對 SSH、RDP、VNC、資料庫與容器連線一體適用。 非直連的段位只放行時窗內的臨時授權，常設授權會被政策蓋過。 管理員豁免這道閘，稽核角色不豁免。
到「存取管控」頁，第一個區塊是連線政策，其中「全域預設存取政策段位」出廠值為不需申請。 生效中的政策組對該鍵的要求在抽屜，可能多組並存、要求不同。
同一頁還有申請參數與緊急連線兩個區塊：
| 政策 | 出廠值 |
|---|---|
| 申請時長上限（分鐘） | 1440 |
| 申請待審超時時限（小時） | 72 |
| 最少核准人數 | 1 |
| 撤銷即斷線 | 關閉 |
同一頁下方是「資產政策覆寫」表格，只列有覆寫的資產。 用搜尋框挑資產、選段位、按「加入覆寫」即可新增。 每一列的下拉選單裡有一個「清除覆寫（跟隨全域，目前：X）」， 括號裡動態顯示現行的全域值，讓你知道清除之後會落在哪一段。變更即時生效。
也可以在資產編輯表單直接改該台資產的連線政策。
列表只留標籤、控制與說明。條款號與各組要求在抽屜；頁面上方的偏離數與 合規對照讀同一份判定。頁首可對一組或全部生效組套用， 先預覽將變更的鍵，按儲存才生效。政策組怎麼維護見 政策組。
agent 自助建立與額度由存取政策控制；敏感原文調閱可依政策發出告警。agent 必須以申請與核准的任務項連線，設定見 AI agent 帳號與金鑰與 MCP 自動化連線。
稽核看得到什麼
Section titled “稽核看得到什麼”- 被政策擋下的連線嘗試回一個機器碼（缺事由或缺核准），並帶出時長上限與在途申請單的識別。
- 管理員豁免政策閘的連線，紀錄帶豁免標記，事後查得出來。
- 政策鍵的每一次變更留紀錄，含變更者、鍵名、舊值與新值。
- 資產段位的變更沿資產變更留痕。
- 資產列表由伺服端標註每台資產當下的可連狀態：可連、需填事由、需核准、審核中， 審核中另帶在途申請單識別，前端不自己推導。