技能介绍

为什么要审计 IAM 权限

在 AWS 环境中，IAM 策略的变更往往伴随着潜在的安全风险。当新策略即将进入生产环境时，如何快速识别出其中的权限提升路径和过度宽泛的 IAM 权限？尤其是在 EC2、ECS、EKS 或 Lambda 等计算服务使用的 IAM 角色上，一旦策略过于宽松，攻击面将急剧扩大。手动审查 JSON 策略不仅耗时，还容易遗漏隐蔽的危险组合。

技能如何工作

该技能基于 Cloudsplaining 工具，帮助自动化完成这一审计过程：

数据输入：支持传入 AWS IAM 策略 JSON 文件或直接拉取账户授权数据。
权限检查：需要运行 iam:GetAccountAuthorizationDetails 的权限（通常绑定 arn:aws:iam::aws:policy/SecurityAudit 策略）。
生成报告：扫描完成后输出 default-iam-results.json，包含原始 JSON 结果，供后续脚本解析或人工审查。
风险识别：特别关注可被 AWS 计算服务使用的 IAM 角色，因为这类角色面临的风险通常高于用户定义的角色。
过滤误报：支持指定自定义排除文件，过滤掉因设计意图（如特意宽松的用户策略）或系统角色带来的误报。

适用边界与注意点

该技能主要适用于开发与运维团队在 CI/CD 流水线或手动变更前的安全审查。需要注意的是，使用前必须确保执行环境具备 Python 3 运行时，且配置的 AWS 凭证拥有足够的只读审计权限。对于已知且合规的宽泛策略，建议通过排除文件进行管理，以避免噪音掩盖真正的高危漏洞。此外，扫描结果仅提供风险提示，最终的策略优化仍需结合业务实际场景进行人工确认。