AWS Identity and Access Management（IAM）访问权限分析器通过提供设置、验证和细化权限的工具来指导您获得最低权限。IAM 访问权限分析器提供访问权限分析调查发现、策略检查和策略生成。

启用 IAM 访问权限分析器，您将创建一个分析器，该分析器会定期检查您的账户或 AWS 组织是否存在外部访问权限、内部访问权限和未使用访问权限。该分析器会为您的 IAM 角色、IAM 用户和 AWS 资源生成访问权限调查发现。您可以启用三种类型的分析器：外部访问权限分析器、内部访问权限分析器和未使用访问权限分析器：

• 外部访问权限分析器可为 AWS 资源创建公共和跨账户访问权限调查发现。此功能免费提供。
• 内部访问权限分析器可识别您的 AWS 组织内有权访问您的业务关键型 AWS 资源的 IAM 角色和用户。这是一项付费功能。对于启用的每个内部分析器，需要按每个区域监控的资源每月付费。
• 未使用访问权限分析器会检查未使用的访问权限，以指导您获得最低权限。这是一项付费功能。对于启用的每个未使用访问权限分析器，需要按每个 IAM 角色或 IAM 用户每月付费。由于 IAM 角色和用户是全球性的，因此只需在一个分区的所有区域中启用一个分析器即可。

内部访问权限分析器和未使用访问权限分析器的费用在设置时收取一次，之后每月第一天收取。

IAM 访问权限分析器还提供两种类型的策略检查：

• IAM 访问权限分析器策略验证可指导您根据 IAM 最佳实践编写并验证安全和功能策略。此功能免费提供。
• IAM 访问权限分析器自定义策略检查会在部署前验证开发人员编写的策略是否符合您指定的安全标准。这是一项付费功能。自定义策略检查利用自动推理（由数学证明支持的可证明的安全性保障）功能，使安全团队能够主动检测策略的不合规更新。对于自定义策略检查，根据您通过调用 IAM 访问权限分析器 API 运行的检查数量向您收费。

IAM 访问权限分析器策略生成会根据在您的日志中捕获的访问活动创建精细策略。此功能免费提供。