AWS IAM 权限提升审计

要解决的问题

AWS 账户里的 IAM 策略很少单独失效。一个普通用户持有的权限单独看完全无害，但当它和另一个角色的 sts:AssumeRole 条件、一条过于宽松的托管策略、或者存储桶策略组合起来时，就可能拼出通往 AdministratorAccess 的完整链条。人工审查成百上千条策略时，注意力很快会被噪声淹没：真正危险的往往不是某一条宽泛策略，而是那些「各自无害、组合致命」的权限拼接。

这个技能做了什么

它把两类数据源接在一起：

• 枚举层：用 boto3 拉取账户内全部 IAM 用户、角色与策略（含托管策略和内联策略），构建完整的身份—权限拓扑。
• 分析层：调用 AWS IAM Access Analyzer API，借助其权限推导能力模拟各类权限组合，定位能够推导出 AdministratorAccess 的路径。

输出不是一份含糊的风险清单，而是：

1. 映射到 MITRE ATT&CK TA0004（权限提升） 的发现结果，每条对应一条具体的提权路径；
2. 针对每条路径的修复步骤；
3. 可直接落地的最小权限替换策略 JSON——把过度授权替换为只覆盖实际调用的工作负载的策略。

适用边界

• 它审计的是当前 IAM 配置的静态权限推导，不做 API 调用的实时监控；配置变更后需要重新运行。
• 分析结果依赖 Access Analyzer 的权限建模能力，跨账户信任关系、权限边界（permissions boundary）等复杂场景可能影响结论精度，高危发现建议人工复核。
• 替换策略 JSON 是建议起点，落地前应结合业务实际调用面做回归验证。