用 Coralogix CLI…

当需要审计或配置 Coralogix 账号的访问控制（谁有权限、用户角色、API Key、团队分组、IP 限制）时使用。

适用场景

解决思路

1. 所有写操作（create、update、delete、set-idp、set-active、set-status）都需要交互式确认；脚本中可用 --yes 跳过，但绝不能在未经用户明确批准时传 --yes：先向用户描述具体操作（将创建/修改/删除什么），等用户确认后再带 --yes 执行。
2. 只读操作（list、get、search、system、sp-params、send-data-keys）无需确认，可自由运行。
3. 用 --read-only（或 CX_READ_ONLY=1）在 CLI 层阻止所有写操作，便于安全探索：可查询任意 IAM 资源而不担心误改。
4. 在 AI agent（Claude Code、Cursor、Codex 等）中运行时，cx 会自动检测 agent 环境并对写操作快速失败而非卡在 stdin 提示；按错误提示先获取用户确认，再用 --yes 重跑。
5. API Key 管理：cx iam api-keys list 列出全部；get <id> 查看单个；create --from-file 创建；update --from-file <id> 更新；delete <id> 删除；send-data-keys 列出 send-data key；admin list 列出所有团队成员 key；admin delete --ids <id1> <id2> 批量删除；admin set-status --ids <id1> --active true/false 启用/停用。
6. 角色与 Scope：cx iam roles list/get/create --from-file/update --from-file <id>/delete <id>；cx iam roles system 列出系统内置角色；cx iam scopes list/get/create --from-file/update --from-file/delete <id>。
7. 用户与分组：cx iam users search（可选 --query、--status）、get <user-id>、create --from-file、update --from-file、set-status --user-ids <id> --status ACTIVE/INACTIVE；cx iam groups list、get <id>、get-by-name <name>、users <group-id>、create --from-file、update --from-file <id>、delete <id>。
8. IP 访问：cx iam ip-access get 查看设置；create --from-file 创建规则；update --from-file 更新规则；delete 删除设置。
9. 所有命令支持 -o json 输出结构化结果、-p <profile> 选择 profile。
10. 访问审计工作流第 1 步：列出所有用户，如 cx iam users search -o json | jq '[.[] | {id, name: .user_name, status, role_ids}]'。
11. 第 2 步：列出角色，cx iam roles list -o json 与 cx iam roles system -o json，将用户 role_ids 与角色定义交叉比对以理解权限。
12. 第 3 步：列出分组与成员，cx iam groups list -o json | jq '[.[] | {id, name, member_count: (.members | length)}]'，并对每个分组执行 cx iam groups users <group-id> -o json 查看成员。
13. 第 4 步：清点 API Key，cx iam api-keys list -o json、cx iam api-keys admin list -o json、cx iam api-keys send-data-keys -o json；用 jq 按 created_at 排序找出老旧或未使用的 key。
14. 第 5 步：检查 IP 限制，cx iam ip-access get -o json。
15. 第 6 步：交叉比对，产出汇总：哪些用户拥有管理员角色、哪些 API Key 老旧、哪些分组权限过宽。
16. API Key 轮换：1) cx iam api-keys list -o json 列出当前 key；2) 按年龄或名称筛选要轮换的 key；3) 经用户批准后 cx iam api-keys create --from-file new-key.json --yes 创建替代 key；4) 将新 key 部署到所有使用旧 key 的系统；5) 验证新 key 在所有集成中可用；6) 经用户批准后 cx iam api-keys delete <old-key-id> --yes 删除旧 key。
17. 安全警示：绝不能在替代 key 部署并验证之前删除 API Key，删除在用 key 会立即中断所有使用它的集成。
18. 安全警示：停用用户（cx iam users set-status --status INACTIVE）立即生效，用户无宽限期即失去访问。
19. 安全警示：删除 IP 访问规则（cx iam ip-access delete）会立即移除所有 IP 限制，可能暴露账号。
20. 核心原则：修改前先审计——先跑完整访问审计工作流再改动。
21. 核心原则：删除 key 前必须先有替代——新建 key → 部署 → 验证 → 删除旧 key。
22. 核心原则：用 -o json 生成结构化报告，便于 jq 过滤做精确访问分析。
23. 核心原则：跨环境审计用多 profile——-p <profile> 或 --all-profiles 同时审计 staging 与 production。
24. 核心原则：从现有模板创建——创建新角色前先 cx iam roles get <id> -o json > role.json。

适用边界 · 注意事项

• 不适用于非 Coralogix 账号的访问控制管理。
• 不要在未先创建并验证替代 key 的情况下删除 API Key。
• 不要在未经用户明确确认时对写操作传 --yes。