用途：在 CloudFormation 中以安全、可审计、可维护的方式建模 IAM，包括为 Lambda、ECS、EC2、Step Functions 等服务创建角色，定义内联策略、托管策略与权限边界，建模跨账户 assume-role 访问，导出角色或托管策略 ARN 供下游栈使用，以及审查通配符权限、边界漂移和角色替换风险。
主要能力：先定义信任边界，明确谁或什么可以担任角色（服务主体、跨账户主体或联合身份），再写权限；用内联策略处理角色专属访问，用托管策略处理跨主体共享模式；在委派角色创建时使用权限边界；跨账户场景只信任确切的源账户或主体，必要时加 sts:ExternalId 条件，并只导出消费账户需要的 ARN。
使用方式：部署前可用命令验证，例如 aws cloudformation validate-template --template-body file://template.yaml、aws cloudformation create-change-set、aws iam simulate-principal-policy、aws cloudformation list-stack-resources。部署后确认策略附加与栈输出符合预期安全模型。
适用场景：平台或应用团队的可复用 IAM 栈、跨账户只读或受限访问、特权服务（IAM、KMS、Organizations）护栏。
限制：IAM 通配符易部署难发现；命名资源被依赖后难以安全替换；IAM 变更在 CloudFormation 中可能先显示成功，随后才受最终一致性影响；部分 Identity Center 或组织级访问模式需要单个 CloudFormation 栈之外的补充工具；错误配置的信任策略往往比缺失权限风险更大。更完整的策略示例见 references/examples.md 与 references/reference.md。