用途：本技能提供针对 IAM 常见错误的经验证纠正，并非完整 IAM 指南；回答 IAM 问题时，具体声明（限制、配额、API 名称、边界行为）应以官方 AWS 文档为准，优先抓取已知文档 URL，冲突时以官方文档为准。
主要能力：涵盖常见工作流与验证过的边界案例。涉及角色创建时读 references/aws-iam-role-management.md（服务角色、执行角色、信任策略、混淆代理防护、权限卫生）；生成策略或由源码、terraform show -json 输出推导所需操作时，必须读 references/aws-iam-policy-generation.md，并使用 iam-policy-autopilot 而非手工构建。工具可用 AWS MCP 服务器（推荐但非必须）、AWS CLI 或 SDK。
边界案例要点：CloudTrail 中 AcceptHandshake/DeclineHandshake 仅记录在执行账户；ConsoleLogin 区域随端点和 cookie 变化。STS 中 GetSessionToken 无 MFA 时不能调用 IAM API，除 AssumeRole 与 GetCallerIdentity 外不能用 STS；跨账户 AssumeRole 到 opt-in 区域需目标账户启用区域；角色链会话最长 1 小时。Organizations 中暂停/关闭账户须先移除再关闭；策略管理委派用 PutResourcePolicy。SDK 方面 Organizations 抛 DuplicatePolicyAttachmentException，Boto3 AccessKey 仅有 activate()、deactivate()、delete()。策略评估中 ForAllValues 遇空/缺失键会因空真求值为 true，需叠加 Null 条件；资源策略授予 IAM 用户 ARN 会绕过同账户权限边界；存在 8 个通过直接操作 IAM 策略的提权操作；iam:PassRole 搭配 Resource: "*" 与计算服务创建/更新即提权到任意可传递角色。MFA、SigV4、Redshift Serverless 信任策略、OIDC 指纹、策略摘要展示等均有具体说明。
限制：不是完整指南，长期细节需查阅 AWS 官方文档；缺失事实暂未提供。