用途：面向 AWS 的网络安全审计与事件调查，通过 MCP 服务器读取 IAM 与 CloudTrail 数据，输出安全态势与整改建议。
主要能力：IAM 部分可列出用户、访问密钥、MFA 状态、最近活动，查看角色与信任策略、附加权限、组及成员，并检查策略文档中是否存在过度授权；CloudTrail 部分可查询近期 API 调用、按事件名/资源类型/用户名过滤、按时间窗口检索，并覆盖多区域。
使用方式：需配置 IAM MCP（uvx awslabs.iam-mcp-server@latest --readonly，stdio 传输）与 CloudTrail MCP（uvx awslabs.cloudtrail-mcp-server@latest，stdio 传输），环境变量为 AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY、AWS_REGION，或使用 AWS_PROFILE。典型流程包括：网络服务角色与宽松策略检查、未使用密钥与 MFA 合规核查、CloudTrail 中 AuthorizeSecurityGroupIngress、CreateNetworkAcl、ModifyVpcAttribute 等事件检索，以及按时间窗定位疑似用户/角色的入侵调查与合规评分报告。
限制：IAM MCP 为只读模式，不能创建、修改或删除 IAM 资源；CloudTrail 事件历史默认仅回溯 90 天管理事件，且通常按区域隔离（除非使用组织跟踪）。工具报错时应直接反馈错误信息，不臆测结果；只读调用可重试一次，涉及状态变更的调用在超时后需先核实当前状态，不得在结果未知时重复执行。