用途：加固 AWS IAM 配置以强制最小权限访问，覆盖策略范围限定、权限边界、IAM Access Analyzer 集成、MFA 强制与长期凭证消除、持续监控等。适用于新 AWS 账户或工作负载接入时编写受限策略、Access Analyzer 报告策略过宽或存在未使用权限时、为 SOC 2 或 PCI-DSS 等合规审计准备最小权限证据时、从长期访问密钥迁移到短期角色凭证时、修复 AWS Security Hub 中 IAM 相关发现时。不适用于 Azure AD 或 Google Cloud IAM 配置、应用层授权逻辑、联邦身份提供商设置。
前置条件：具有管理访问或 IAM:FullAccess 的 AWS 账户；已安装并配置命名配置文件的 AWS CLI v2；CloudTrail 至少启用 90 天 API 活动历史；熟悉 JSON 格式 IAM 策略语法与 ARN 资源记法。
工作流：一，用 AWS CLI 和 IAM 凭证报告清点现有用户、角色、组及附加策略，识别控制台访问、访问密钥及最后使用时间；二，在账户或组织级别启用 IAM Access Analyzer，列出外部访问发现，并基于 CloudTrail 活动生成最小权限策略；三，将通配符资源 ARN 替换为具体资源，添加 MFA 强制、源 IP 限制和时间窗口等策略条件；四，创建权限边界策略并附加到角色或用户，限制实体可获得的权限上限，防止权限提升；五，要求所有人类用户使用 MFA，通过 STS AssumeRole 将工作负载从 IAM 用户访问密钥迁移到临时凭证，可使用 SCP 在组织级强制 MFA，并停用未使用密钥；六，部署 AWS Config 规则与 Security Hub 控件持续评估 IAM 态势，用 EventBridge 规则对根账户使用等高风险变更告警。
主要能力：Access Analyzer 依据 CloudTrail 活动生成最小权限策略；权限边界限制实体最大权限；SCP 设置组织级护栏；IAM Policy Simulator 部署前测试策略效果；AWS Config 与 Security Hub 持续合规评估；Prowler 开源评估工具运行超过 300 项检查。
限制与注意：替换策略前应使用并行角色测试，避免服务中断；删除密钥前先停用以便取证；需检查所有相关账户是否存在未授权活动；Lambda 调用权限应限定到具体函数 ARN。产品收费、价格与完整安装命令暂未提供。