该模块用于在仅有静态制品的条件下，判断仓库中的基础设施即代码是否给云身份授予了超出工作负载所需的权限，或把信任关系开放给预期边界之外的主体。以 AWS 为主（Terraform、CloudFormation、CDK 合成模板、状态文件、user-data 脚本、EKS IRSA 注解、GitHub Actions OIDC），GCP 与 Azure 为次要扫描对象。
主要检查项：A 通配符与管理员策略（Action/Resource 为 ""、AdministratorAccess、FullAccess 托管策略、内联策略过多）；B 信任策略与跨账号访问（Principal:""、无 sts:ExternalId 的账号根信任、缺 audience 或 sub 过滤的 OIDC 联合）；C PassRole 与提权原语（PassRole 搭配 RunInstances、Lambda 创建/更新代码、SSM 会话，以及 CreateAccessKey、AttachPolicy、PutPolicy 等）；D 实例/任务角色对比长期密钥（硬编码 access_key/secret_key、user_data 中的 AKIA、提交的 .tfstate）；E S3 暴露（public-read、缺 public_access_block、Principal:"*" + GetObject）；F KMS 与静态加密默认值；G 云原生密钥存储（SSM 参数类型为 String 而非 SecureString）；H GCP 扫描（allUsers/allAuthenticatedUsers 授予 Owner 等、google_service_account_key）；I Azure 扫描（订阅级 Contributor/Owner、共享密钥存储认证、Key Vault 授权模型、托管标识缺失）；J 元数据服务加固（IMDSv1 回退）；K CI/CD OIDC 联合。
每条发现需给出 file:line 证据、模式类别、严重度、最小权限改写，并在可利用性依赖仓库无法证明的运行时事实时标注 Needs-Review。结论强度分为 Confirmed-static、Needs-Review(runtime)、Needs-Review(intent)。
使用方式为按上述 A–L 清单顺序执行静态审计，零背景术语见仓库 GUIDE.md 词汇表。限制：运行时云枚举与真实账号 API 调用不在范围内，除非审计员已明确授权只读 CLI 访问；密钥值指纹与轮换流程归 SECRETS 模块，SSRF 发现归 SSRF 模块，DNS 接管归 DNS-TAKEOVER 模块，Kubernetes RBAC 质量归 CONFIG/AUTHZ 模块。具体 CLI 命令与安装方式资料未提供。