用途：在部署新 Lambda 函数、修复审计发现的过宽权限、为无服务器架构落地最小权限、构建可复用 IAM 模板，或 Security Hub/Prowler 报告权限过大时使用。不适用于函数调用授权、代码安全或网络隔离。
主要能力：枚举函数与执行角色、检查托管与内联策略；用 CloudTrail 与 IAM Access Analyzer 生成基于实际调用的最小权限策略；创建资源级限定策略与信任策略（含 aws:SourceAccount 防混淆代理）；应用权限边界限制最大权限并拒绝提权动作；用 validate-policy、check-no-new-access、simulate-principal-policy 校验；用 SCP 强制角色标准。
必要用法：需具备 IAM 策略创建、角色修改与 Access Analyzer 权限，启用 Access Analyzer 与 Lambda CloudTrail 数据事件。核心命令包括 aws lambda list-functions、aws iam list-attached-role-policies、aws accessanalyzer start-policy-generation、aws iam create-policy、aws iam put-role-permissions-boundary、aws accessanalyzer validate-policy、aws organizations create-policy 等。
适用场景：将共享 AdministratorAccess 角色收敛为按函数最小权限，先经暂存验证再灰度上线。
限制：低频代码路径可能被 30 天观察窗口遗漏，需结合代码审查；生成策略不能完全替代人工校验。具体收费、平台与效果资料暂未提供。