用途
AWS IAM 技能用于在 AWS 中管理身份与访问，围绕最小权限策略、角色、联合身份和权限边界展开。适用于为 EC2、Lambda、ECS 等创建角色，编写自定义最小权限 IAM 策略，为 GitHub Actions 或其他 CI/CD 系统设置 OIDC 联合身份，实施委派管理的权限边界，用 IAM Access Analyzer 和凭证报告审计访问，配置跨账户 assume-role 访问，以及强制 MFA 和会话策略。
主要能力
- 创建和管理角色：支持 EC2 实例角色、Lambda 执行角色，包含信任策略、内联策略、托管策略以及实例配置文件的创建与绑定。
- 策略编写：遵循统一的 JSON 结构（Version、Statement、Sid、Effect、Action、Resource、Condition），示例中展示了 S3 读写策略及拒绝未加密上传的显式 Deny。
- 跨账户访问：在目标账户创建可被来源账户承担的跨账户角色，使用 ExternalId 条件，并在来源账户执行 sts assume-role 获取临时凭证。
- OIDC 联合身份：为 GitHub Actions 创建 OIDC 身份提供商和角色，基于仓库与分支范围设置信任条件，并给出对应 GitHub Actions 工作流配置示例。
- 权限边界：创建边界策略，示例中允许若干服务、拒绝 IAM 变更、限制区域，并在创建角色时指定权限边界。
- 审计与排查：创建 Access Analyzer 分析器、列出发现项、生成并下载凭证报告、查找无 MFA 用户、列出角色策略、查看服务最后访问详情、模拟主体策略测试访问。
- Terraform 示例：以 Terraform 资源定义 OIDC 提供商、GitHub Actions 角色、角色策略绑定和权限边界。
- 服务控制策略（Organizations）：示例包含拒绝 root 账户、要求 IMDSv2、限制区域等 SCP。
使用方式
技能内容以 AWS CLI 命令和 JSON 策略文档为主，辅以 Terraform 配置。使用前需安装并配置 AWS CLI v2，具备所需 IAM 权限（如 iam:*，或按最小权限收窄到具体操作），OIDC 场景需具备创建身份提供商的权限，SCP 场景需 AWS Organizations 访问权限。所有命令和代码内容均保留原文，可直接参照执行。
适用场景
适合云平台运维与安全团队在 AWS 上开展身份治理、权限最小化收敛、跨账户协作、CI/CD 无长期密钥部署、访问审计与合规检查等工作。
限制
资料未说明计费、价格、平台支持范围或效果指标，这些信息暂未提供。有效权限遵循“身份策略 AND 权限边界”的规则，边界未包含的操作会被拦截。常见问题包括访问被拒、角色无法被承担、OIDC 联合失败、凭证报告显示密钥过期、跨账户 assume role 失败、MFA 条件未生效等，资料中给出了对应的排查方向与修复方式。