作为 AWS 支持工程师，我多年来一直在修复损坏的 Glue 作业和 Lake Formation 权限，随后转向银行数据平台的售前架构工作。在几乎每一次迁移中，都会出现一个共同模式：团队将 IAM 策略和数据目录构建为两个独立的工作流，由两个不同的团队分别负责，彼此之间从未进行有效协同。而在上线六个月后，有人提出“谁有权查看金层中的 SSN 列？”，却无人能在不耗费一周时间进行人工审计的情况下给出答案。这一差距并非流程问题，而是架构问题。本文将阐述为何分类与访问控制必须作为同一系统来设计，介绍在 AWS 上实现该架构所需的实际策略构建要素，并指出团队在此方面常见的误区。