用途：面向身份与访问管理（IAM）的顾问式审查，不只指出错误配置，也给出应然设计。分三种模式：Audit（审查现有部署，发现权限蔓延与缺口）、Design（为新项目或新身份提供方做绿地 IAM 设计）、Migrate（整合多个身份提供方、联邦访问、迁移至 SSO）。可交叉参考 cloud-audit（更广的云审计）与 container-audit（K8s RBAC 与 ServiceAccount）。
主要能力：云 IAM 方面检查 AWS 控制台用户、永久访问密钥、权限边界、通配符策略、跨账号信任、IMDSv2 等，并运行 aws accessanalyzer list-findings、aws iam generate-credential-report、aws iam get-account-authorization-details；GCP 检查 roles/owner、服务账号密钥、自模拟，运行 gcloud asset analyze-iam-policy 等；Azure 检查 Owner/Contributor 分配、自定义角色、条件访问、PIM，运行 az role assignment list --all 等。身份提供方方面覆盖 MFA 强制、防钓鱼 MFA、非活动账号、生命周期自动化、组授权、管理员分离、日志转发。应用授权方面建议角色文档化、集中权限检查、按需 ABAC/ReBAC 并记录授权决策。
使用方式：先按模式选定范围，执行上述只读命令收集现状，再按报告模板输出，含执行摘要、发现/建议表、逐项详情、路线图，以及 Fixed/Deferred/Accepted Risk 处置结论。设计模式给出绿地清单与认证流程选择（公共客户端用 Authorization Code + PKCE，机密客户端用 Client Credentials，刷新令牌存 HttpOnly Secure Cookie）。迁移模式给出从 IAM 用户到 Identity Center、从 AD 到 Entra ID 等常见路径与分波次迁移手册。
限制：仅审计用户有授权的账号与身份提供方；审计期间只做只读操作；迁移时未确认回滚路径不得禁用用户；拒绝协助绕过 MFA、社工恢复凭据或设计后门；发现的提权链仅记录不利用。具体收费、平台支持范围等资料暂未提供。