明确谁负责审核
当前角色基线把 ApprovalAdmin 与 PlatformAdmin 分开。审核人需要审批能力和相关上下文，常规审核不应以授予完整平台管理权限为前提。
同时核对意图与可行性
阅读所属服务与资源需求，再确认兼容集群和存储。检测到的能力与管理员允许使用的策略是不同检查；已提交的命名空间在审核期间仍不可变。
区分决定与执行结果
申请单契约区分 PENDING、APPROVED、EXECUTING、SUCCESS、FAILED，也有拒绝和取消结果。拒绝是审核决定，执行失败可能发生在其后。有审计权限的账号可以通过筛选查看记录。
操作与检查步骤
打开正确的审批任务
使用承担内置审批职责的账号，先确认操作类型和申请人上下文。
查看审批角色的职责分离核对工作负载与部署位置
阅读理由、所属服务、命名空间、模板和规格。创建申请需选择兼容的集群与存储，先处理校验失败。
阅读能力与策略校验记录审核决定
通过审批动作批准，或填写有助于纠正问题的拒绝理由。命名空间填写错误需处理原申请，不能用部署覆盖项改动。
查看内置决定契约跟踪执行与证据
审批后查看申请单结果与虚拟机状态；用有审计权限的账号核对请求、决定和资源变更记录。
前提条件与边界
- 本指南只覆盖内置审批；外部集成有独立配置及服务间契约。
- 批准不保证存储创建、集群准入或客户机启动成功。
- 电源和控制台操作按环境策略处理，并非所有环境都强制经过完全相同的审核。
文档与实现依据
- 申请与审核分工
申请输入与审核人可决定的部署位置。
- 内置审批和审计 API
决定接口、申请单状态与 /audit-logs。
- 审批角色基线
ApprovalAdmin 与平台管理的区别。
- 集群策略校验
先匹配能力，再校验明确的管理策略。
常见问题
审批时能改正命名空间吗？
不能。提交后的命名空间不可变，应与申请人处理错误上下文，不能借部署位置调整将申请移动到其他命名空间。
拒绝与失败有什么区别？
REJECTED 记录审核决定，FAILED 是流程结果。需结合申请详情、虚拟机和授权审计记录判断执行情况。