用途：对 GCP 组织或项目的 IAM 配置做安全评估，找出过度宽松的绑定、原始角色使用、服务账号密钥泛滥、未使用账号、模拟与全域委派风险，并按最小权限原则提出整改。
主要能力：跨组织、文件夹、项目枚举 IAM 绑定；用 gcloud asset search-all-iam-policies 查询 Owner/Editor、allUsers/allAuthenticatedUsers；列出服务账号及其用户托管密钥；用 IAM Recommender 给出角色缩减建议；用 Policy Analyzer 分析“谁能访问什么资源”；检查服务账号的 serviceAccountTokenCreator / serviceAccountUser 绑定；最后删除原始角色、删除旧密钥、停用闲置服务账号。
必要用法：需具备 roles/iam.securityReviewer 与 roles/cloudAsset.viewer，gcloud CLI 已完成认证，并启用 cloudasset、recommender、policyanalyzer API，例如 gcloud services enable cloudasset.googleapis.com。典型命令包括 gcloud asset search-all-iam-policies、gcloud iam service-accounts keys list、gcloud recommender recommendations list、gcloud asset analyze-iam-policy；整改时用 gcloud projects remove-iam-policy-binding、gcloud iam service-accounts keys delete、gcloud iam service-accounts disable。
适用场景：GCP 组织/项目 IAM 配置安全评估、合规审查、横向移动风险排查、凭据泄露后的权限收敛。
限制：不适用于 VPC 防火墙规则审计、GKE RBAC 审计，也不用于 IAM 实时威胁检测（应使用 SCC Event Threat Detection）。Recommender 建议可能因观察期不足而过于严格，替换原始角色通常需组合多个预定义角色，必要时用自定义角色补足。报告中其他功能与价格信息暂未提供。