用途：在 AWS/Azure/GCP 云账户中部署诱饵（honey）资源，作为触发器，一旦攻击者访问即产生高保真告警；弥补仅有本地蜜罐而云控制面缺乏检测的缺口，并可检测凭证窃取、代码仓库泄露、密钥外泄、云侦察与横向移动。
主要能力：创建无权限诱饵主体（AWS IAM 用户/角色、Azure 应用注册/服务主体、GCP 服务账号）、蜜罐存储桶、诱饵密钥（Secrets Manager、Key Vault、Secret Manager），并通过云审计日志（CloudTrail、Azure Activity/Entra 日志、GCP Cloud Audit Logs）与 SIEM 告警联动。示例命令：aws iam create-access-key --user-name svc-backup-prod；gcloud iam service-accounts keys create decoy-key.json --iam-account=...
使用方式：先确定要模仿的目标，再按云平台创建无权限诱饵并放置凭证，启用数据事件审计，配置告警规则（如 EventBridge、Sentinel 分析规则、GCP 日志指标），集中路由到 SOC，最后以红队方式验证端到端告警延迟，并定期轮换维护。诱饵主体必须显式 deny-all 或无角色绑定，价值在于告警而非访问。
适用场景：凭证窃取/代码泄露检测、核心数据存储、云横向移动、密钥收集、从本地欺骗迁移到云。
限制：需云管理/IAM 权限与已启用的审计日志、SIEM 告警通道；诱饵若无检测接线或未验证则视为失效；需维护诱饵清单以免在审计中误判。官方未提供具体定价与部署规模信息。