gebalamariusz/cloud-audit

这是什么？

核心功能

• 01覆盖 25 个 AWS 服务的 110 项只读配置检查，每项附带 AWS CLI 和 Terraform 修复方案。
• 02检测 64 种 IAM 提权方式以及横向 AssumeRole 路径。
• 03将发现的问题关联为 31 条攻击链规则，并按可切断的攻击链数量排列修复优先级。
• 04针对 Bedrock Agents 和 AgentCore，按两种威胁模型分析智能体的可达范围。
• 05通过 --verify 调用 IAM 策略模拟器，验证提权路径和智能体权限。
• 06支持控制台、JSON、HTML、SARIF、Markdown 多种输出，可接入 CI/CD。

适用场景

• 在部署前后检查 AWS 账户中的 IAM 错误配置和提权路径。
• 评估 Bedrock 或 AgentCore 智能体在凭证或提示词被攻破后可能访问的资源。
• 在 GitHub Actions 中定时扫描，并将 SARIF 结果上传到 Code Scanning。
• 对比多次扫描结果，发现配置漂移。

快速上手

1. 1

   从 PyPI 安装

   pip install cloud-audit
2. 2

   无需 AWS 账户,运行离线演示

   cloud-audit demo --save demo.json
3. 3

   使用默认配置和区域对你的 AWS 账户进行只读扫描

   cloud-audit scan

使用前须知

• !仅支持扫描 AWS 账户,不支持其他云服务商。
• !--verify 证明模式和 agent-blast 需要具备 IAM 模拟器访问权限的 AWS 凭证。

收录于专题

标签

常见问题

cloud-audit 是什么？

只读的 AWS 安全扫描工具，提供 110 项检查、IAM 提权路径分析、攻击链关联，并为每项发现给出 AWS CLI 与 Terraform 修复命令。 cloud-audit 是一款用 Python 编写的 AWS 账户命令行扫描工具。它覆盖 25 个服务共 110 项配置检查，包括 IAM、S3、EC2、KMS、CloudTrail、Lambda 和 Bedrock，并给出健康评分。工具还会检测 64 种 IAM 提权方式，把发现的问题关联成攻击链，并按能切断最多攻击链的顺序排列修复建议。

cloud-audit 可以免费使用吗？用的什么许可证？

cloud-audit 以 MIT 许可证开源。用于商业产品前，请先确认许可证条款。

cloud-audit 还在维护吗？

活跃维护中。cloud-audit 最近一次提交是在 2026年10月14日。

cloud-audit 适合用来做什么？

在部署前后检查 AWS 账户中的 IAM 错误配置和提权路径。 评估 Bedrock 或 AgentCore 智能体在凭证或提示词被攻破后可能访问的资源。 在 GitHub Actions 中定时扫描，并将 SARIF 结果上传到 Code Scanning。 对比多次扫描结果，发现配置漂移。

cloud-audit 怎么安装和运行？

从 PyPI 安装: pip install cloud-audit 无需 AWS 账户,运行离线演示: cloud-audit demo --save demo.json 使用默认配置和区域对你的 AWS 账户进行只读扫描: cloud-audit scan

在哪里获取 cloud-audit？

源代码和安装说明在 GitHub 上：https://github.com/gebalamariusz/cloud-audit