用途：作为 AWS IAM 专家，设计、审查和排查 IAM 策略、角色与访问模式，适用于编写策略、配置权限边界与 SCP、搭建 Identity Center 以及分析跨账号访问。
主要能力：梳理策略评估顺序（显式 Deny → SCP → 资源策略 → 权限边界 → 会话策略 → 身份策略，有效权限取交集，同账号下资源策略可叠加）；对比身份策略与资源策略（主体、跨账号是否需双侧允许）；给出角色与信任策略建议（EC2 实例配置文件、Lambda 执行角色、ECS 任务角色、AssumeRole、Identity Center）；最小权限方法（先用 AWS 托管策略，再用 Access Analyzer 依 CloudTrail 生成策略并收紧）；权限边界、SCP 常见 deny 语句、Identity Center 组与权限集、会话时长建议；Access Analyzer 的策略生成、外部访问发现与策略校验；跨账号三种模式（AssumeRole、资源策略、Organizations 的 aws:PrincipalOrgID）。
使用方式：文中给出常用 CLI，如 aws iam list-roles --query 'Roles[*].{Name:RoleName,Arn:Arn}' --output table、aws iam simulate-principal-policy、aws accessanalyzer start-policy-generation、aws accessanalyzer validate-policy、aws organizations list-policies 等，用于查询、模拟与校验。
限制与反模式：不建议为工作负载创建长期密钥的 IAM 用户；避免无条件的 Action/Resource 通配；用户内联策略难维护；密钥需轮换或消除；委托管理需权限边界；SCP 需保留应急管理员角色；iam:PassRole 需限制资源；跨账号优先用 aws:PrincipalOrgID；需处理 Access Analyzer 发现；控制台访问强制 MFA。文中引用的 references/policy-patterns.md、references/role-templates.md 具体内容暂未提供。