用途
Cloud Audit 是一个云基础设施安全审查技能，用于审计 AWS、GCP、Azure 环境中的配置错误、权限过度授予、公开暴露与合规缺口。它定位在“云安全态势”层面，而不是身份体系的深度设计层面；资料明确说明 IAM 部分仅停留在云态势级别，若需要角色设计、JIT 访问、工作负载身份联合与迁移方案，应调用 iam-audit。容器层面的 Kubernetes 态势归属 container-audit，密钥管理卫生与轮换归属 secrets-audit。审计发现采用三分法处理：已修复 / 延后 / 接受风险。
审计范围界定
开始前需明确：云服务商与账号、使用的区域、以及以何种方式核查——是具备 CLI 工具（aws、gcloud、az），还是审查 IaC 文件（Terraform、CloudFormation、Pulumi）。
主要检查类别
身份与访问管理
AWS 侧提供 aws iam get-account-summary、list-users、generate-credential-report 与 get-credential-report 等命令，检查点包括：根账户未启用 MFA、访问密钥超过 90 天、未使用凭证、通配符权限（"Action": "*"）、权限过大的角色。
GCP 侧使用 gcloud projects get-iam-policy 与 gcloud iam service-accounts list，检查点包括：过多主体被授予原始角色（Owner/Editor）、未使用的服务账号、使用服务账号密钥而非工作负载身份。
Azure 侧使用 az role assignment list --all 与 az ad user list，检查点包括：过多的 Owner/Contributor 分配、拥有高权限的来宾用户。
IaC 审查：在 Terraform/CloudFormation 文件中检索 "Action": ""、"Resource": ""、硬编码密钥、过于宽泛的信任策略。
网络安全
检查安全组或防火墙规则是否允许 0.0.0.0/0 入站；是否存在来自互联网的无限制 SSH（22 端口）或 RDP（3389 端口）；VPC 流日志是否关闭；数据库是否位于公有子网；各层之间是否缺少网络分段。
存储
AWS S3 使用 aws s3api list-buckets、get-public-access-block、get-bucket-policy、get-bucket-encryption 等命令，检查点包括：公开存储桶、缺失加密、未启用版本控制、无生命周期策略、过于宽松的存储桶策略。GCP/Azure 对应检查 Cloud Storage 与 Blob Storage，关注 allUsers、allAuthenticatedUsers 访问或匿名 blob 访问。
计算
是否强制 IMDSv2（AWS 的 HttpTokens = required）；EBS 卷或磁盘是否未加密；实例是否持有不必要的公网 IP；AMI 或镜像是否过旧（检查补丁时间）；Kubernetes 中是否存在特权容器、是否缺少安全上下文。
日志与监控
CloudTrail、Cloud Audit Logs、Activity Log 是否在所有区域启用；日志存储是否加密、不可篡改、保留期是否足够；GuardDuty、Security Command Center、Defender for Cloud 是否启用；是否针对根登录、IAM 变更、安全组变更、大规模数据传输配置告警；VPC 流日志与 DNS 查询日志是否启用。
密钥管理
源码、环境变量或 IaC 文件中是否存在硬编码密钥；敏感值是否使用 Secrets Manager、Key Vault；KMS 密钥轮换是否配置。
输出格式
报告采用固定结构：标题、账号、服务商、区域、日期；摘要部分给出发现总数与严重程度分布（Critical/High/Medium/Low）；发现部分逐条给出严重程度与类别、资源 ARN/ID、区域、问题描述、风险、证据（CLI 输出或 IaC 片段）、修复措施；最后给出优先级行动计划（严重—立即、高—本周、中—本月、低—下季度）。
适用场景与限制
适用于对自有或有访问权的云账号与项目进行安全态势检查，并可用于 IaC 代码审查。限制与边界包括：仅审计用户拥有访问权的账号或项目，不尝试访问其他账号或租户；必须为每项发现提供修复方案；需说明修复可能影响可用性的情况（例如收紧安全组可能中断连接）；需标记审计中发现的任何正在被入侵的证据；拒绝针对他人基础设施利用已发现配置错误的请求。
参考资料包括 AWS/GCP/Azure 的 CIS 基准、AWS Well-Architected 安全支柱，以及多云审计工具 ScoutSuite。