下周一上午九点，嘉禾隔离环境的倒计时亮了。
十五分钟。
罗致远让人注入一组模拟重试，让刻度科技按正式值班方式接手。没有预先交给他们管理员密码，客户的业务批准人与系统负责人也各用自己的账号。
“方案里说不用永久权限。”罗致远看着周衡，“现在试。”
第一分钟，丁卓收到高等级卡。
他先核目标系统、最近变更和队列增长，没有四处找登录入口。只读摘要已经足够判断，同一类失败任务正在挤占模拟核心链的工作池。
第三分钟，他提交安全第一步：限制已确认失败类的重试并发，保留核心增量，五分钟内不回落便停止扩大动作。
审批页发给嘉禾的两名负责人。
第四分钟，业务批准完成。
第五分钟，系统负责人确认目标和参数，十分钟操作令牌签发。丁卓在受控终端执行，只有那一个测试对象的开关可以操作，旁边其他系统仍是灰色。
第七分钟，完成速度反超。
演习室里有人低声说了一句，够快了。
周衡却让丁卓别关页面。
“再试一个不在范围内的。”
这个动作事先在隔离测试清单里列明，只尝试访问模拟订单对象，不涉及生产记录。丁卓点下去，页面拒绝，审计留下对象编号与越界失败结果。
罗致远让安全人员核后台。拒绝是真的，没有用前端按钮做一层样子。
倒计时走到第十五分钟，十分钟令牌如期到期，刚才能点的测试开关也灰了。
丁卓试着恢复，仍被拒绝。恢复动作要另发授权，旧令牌不会因为他还坐在同一台终端前就继续生效。
“这次不影响恢复速度吗？”采购问。
“恢复也有条件。”丁卓说，“如果刚停住异常，就有人拿旧权限把所有开关扳回去，前面的七分钟白忙。”
罗致远让嘉禾按预设恢复条件再走一遍。两名批准人都在线，新工单很快完成，模拟队列平稳回到基线。
坐在末排的业务负责人将椅子往前挪了一点。刚进来时，他以为自己只是陪技术部门走过场，连电脑都没有打开。现在他指着处置卡上的影响范围，问这里能不能直接看见涉及哪些门店。
丁卓切换了一下，模拟门店出现在右侧。
“这几家没问题的，我就不用再让店长挨个报数？”
“先按已经核验到的范围处理，后面有变化会更新。您可以点一间看看。”
对方接过鼠标，打开两家门店，再退回原页，自己把处理状态找了出来。
他原来准备在本子上抄四个负责人的电话，笔盖已经拔了，最后又扣回去。
“这个给我留着，活动那天我就开这一页。”
罗致远看向采购，没再替刻度科技补充说明。对方将刚才写在备注里的“额外学习成本”划了一道，改成了安排一次实际操作。
第一轮结束，桌上的永久管理员密码一栏仍是空白。
替代方案有用，却没到结束的时候。
第二轮，嘉禾故意撤去一名审批人的角色。已经生成但尚未启用的令牌立刻作废，丁卓停在执行前，通知替补。
替补能收到卡，却没有相应批准身份。
三分钟过去，开关仍不能动。
安全人员看向罗致远，等他评价。丁卓没有索要测试超级账号救场，而是把“替补角色未开通”标进缺项。
“这个不是供应商慢。”罗致远说，“是我们的名单只写了人，没给人做事的权限。”
嘉禾现场补齐角色，再走新工单，旧令牌没有复活。
采购把刚才笼统的十五分钟拆成接手、给出安全动作和获批后执行三个时间。客户没有提供必要审批时要记录原因，刻度科技仍须继续核查和升级，不能一停表就消失。
周衡签了演习记录。
拒绝永久权限，不等于拒绝紧急时做事。今天把真实的慢点找出来，比活动当天拿十八套密码互相推责任有用。
演习结束，安全人员导出外部账号清单。
丁卓数了一下：“怎么还有七个？”
不是刻度科技的账号。
最早一项来自一年多前的监控项目，绑定原供应商共享邮箱；几名登记人员已经离开原单位，还有一个测试管理员根本没填到期时间。
其中一个业务归口人已经转岗。
安全人员拨过去，对方先说不记得了，过了两分钟才想起，那项测试项目当时没有走正式退出流程，收了材料便认为事情结束了。