访问关系台账怎么建：导出与对账

结论先行：资产台账通常记的是"登记了什么"，微隔离学到的东西向访问关系记的是"实际发生了什么"，两者合起来才是可用的资产视图。可行做法是把连接关系按访问者、服务提供者、协议端口、时间范围多维度检索后批量导出，与资产台账和业务责任人做三轮对账，再用于依赖梳理、策略评审、等保举证与迁移割接四类场景。

台账里缺的不是资产，是关系

多数企业的资产台账能回答"这台机器归谁、跑什么系统"，但回答不了"它实际在跟谁通信"。而隔离策略、迁移方案、依赖分析要的恰恰是后者。

靠人工访谈补这块信息，成本高且很快过期。微隔离在学习期内采集的全量连接关系，正好是这份数据的现成来源——它不需要业务方回忆，也不会因为人员变动而失真。

导出字段怎么设计

导出文件不是越多字段越好，关键是每条记录都能落到责任人和判断依据上。建议至少包含以下字段。

其中"首次与最近发生时间"容易被忽略，但它决定了这条关系是该保留还是该清理——三个月内只出现一次的通信，多半是临时操作而非业务依赖。

三轮对账

第一轮：与资产台账对账

把导出的工作负载清单与资产台账比对，找出三类中途：台账有但平台没有（未纳管，属于覆盖盲区）、平台有但台账没有（影子资产）、两边都有但归属不一致（标签错误）。三类的处置责任人不同，应分开统计。

第二轮：与业务方对账

按业务系统分批把连接关系发给对应责任人，请对方确认"哪些是必要的、哪些可以关"。这一步建议限定确认时限，并说明未回复的默认处理方式，否则容易长期悬置。

第三轮：与策略对账

核对每条实际访问是否都有对应策略，以及每条策略是否有对应访问。前者缺失意味着存在未受控的实际通信，后者缺失意味着策略已经冗余。

台账的四个用法

• 依赖梳理：系统重构或拆分前，用连接关系确定影响范围，比访谈可靠。
• 策略评审：评审会上直接以台账为依据讨论放行与否，而不是凭印象。
• 合规举证：区域边界与访问控制相关的检查，需要能说明"域间实际存在哪些访问、如何受控"，台账是直接的证据材料。
• 迁移割接：搬迁或上云时按台账核对新环境的策略是否覆盖完整，减少漏配。

三个常见坑

• 导出一次就归档。业务在变，台账应当按季度重新导出并对账，否则很快失真。
• 只导不看。导出文件没人逐条确认，等于把梳理工作量从平台转移到了没人做的环节。
• 字段里只有地址没有标签。地址在云环境里变动频繁，三个月后的台账就无法与现网对应。

奇摩在交付微隔离项目时，通常把这份台账的字段模板与对账流程作为一期交付物，与策略基线清单一并提交。若您需要一份可直接使用的字段模板，欢迎预约咨询。