只读审计AWS资源配置并生成整改清单

目标

为一个AWS账号生成不执行更改的资源合规审计报告。

步骤

1. 先用样例sandbox Terraform创建隔离EC2与只读IAM角色，不授予写权限。 [src10-strands-audit-aws-resource-compliance-readonly]
2. 让Documentation Retriever查AWS最佳实践，再由Boto3 Code Assistant生成只读API查询并由Resource Auditor对照。 [src10-strands-audit-aws-resource-compliance-readonly]
3. 保存每项发现的资源ID、配置证据、规则出处和建议修复；人工复核后另开变更单。 [src10-strands-audit-aws-resource-compliance-readonly]

验证方式

抽查每项发现是否有AWS资源ID、只读响应字段和匹配的最佳实践出处；确认审计角色无写策略。

故障处理

若API拒绝访问，检查沙箱角色和区域范围；若修复建议缺少文档出处，重跑Documentation Retriever，不要现场调用写API。