云 IAM 策略评审工作流

概述

云权限的膨胀往往不是一次授予，而是长期只增不减。枚举主体与策略、标记通配符与未使用权限、依据观测用量在安全余量内收敛，并为角色指定负责人，可把权限面持续压小且可问责。

关键步骤

1. 枚举主体、角色与所附加策略。
2. 标记通配符动作、资源与未使用权限。
3. 依据观测用量在安全余量内收敛策略。
4. 为每个角色指定负责人并要求变更时复核。

验证

• 生产角色无无正当理由的通配符管理员权限。
• 收敛后未使用权限发现数下降。
• 每个授权都有负责人。
• 复核有固定节奏。

决策点

未使用权限宜在两个完整使用周期后再吊销，以免打断季度任务；应保留受监控的应急角色，否则会催生更差的变通。

适用范围

本条目围绕「云 IAM 策略评审工作流」给出可复制的步骤、验证方式与常见问题，适合需要按此流程落地的工程团队。执行时请结合自身上下文调整命令与阈值，并在变更前后留存证据，便于后续复核与回滚。

aws iam generate-service-last-accessed-details --arn arn:aws:iam::123456789012:role/app
aWS iam get-service-last-accessed-details --job-id $JOB | jq '.ServicesLastAccessed[] | select(.TotalAuthenticatedEntities==0)'