aws-infra

核心用法

aws-infra 是一款面向 AWS 云基础设施的聊天式管理助手，通过本地 AWS CLI 与 AWS 服务交互。用户可通过自然语言查询 EC2 实例状态、S3 存储桶配置、IAM 权限策略、Lambda 函数、ECS/EKS 集群、RDS 数据库、CloudWatch 监控指标及账单数据等。Skill 默认采用只读模式，所有查询类操作（如 describe-instances、、list-buckets、、get-metric-data）可直接执行；若涉及创建、修改、删除等变更操作，系统会展示精确的 CLI 命令并强制要求用户显式确认后方可执行。

显著优点

1. 安全优先设计：默认只读策略从根本上降低误操作风险，破坏性操作需双重确认机制
2. 覆盖全面：支持 AWS 核心服务栈，从计算、存储、网络到安全、监控、成本管理一应俱全
3. 环境感知：自动识别 AWS_PROFILE 和 AWS_REGION 环境变量，智能回退至 ~/.aws/config 配置
4. 操作透明：变更前展示完整命令预览，支持 --dry-run 预演，用户完全掌控执行过程
5. 凭证保护：明确禁止记录或泄露访问密钥、会话令牌等敏感凭证

潜在缺点与局限性

1. 功能边界依赖 CLI：复杂场景（如跨服务关联分析、批量资源编排）需用户自行组合命令
2. 无图形化反馈：纯文本输出，大规模资源列表或监控图表的可读性受限
3. 权限配置门槛：用户需预先理解 AWS IAM 权限模型，错误配置可能导致功能受限或过度授权
4. 区域切换繁琐：多区域资源查询需手动指定 --region 参数，缺乏一键全局视图
5. 变更回滚缺失：执行写入操作后无内置回滚机制，依赖用户自行准备补救方案

适合的目标群体

• 云运维工程师：日常巡检、故障排查、安全审计
• DevOps 开发者：基础设施即代码前的快速验证、环境状态确认
• 技术团队负责人：成本分析、资源利用率评估、合规检查
• AWS 学习者：通过自然语言交互熟悉 AWS CLI 命令与服务架构

使用风险

• 权限扩散风险：若配置过高权限的 AWS 凭证，确认环节的误操作可能导致生产环境事故
• 数据泄露隐患：查询结果可能包含公网 IP、存储桶名称、IAM 用户列表等敏感信息，需在安全环境分享
• 供应链安全：第三方社区维护，更新来源需人工验证，存在潜在恶意篡改可能
• 性能瓶颈：大规模资源查询（如万级 EC2 实例）可能触发 AWS API 限流或超时

综合评估

aws-infra 是一款基于 AWS CLI 的交互式基础设施管理助手，专为云运维工程师和 DevOps 团队设计。该 Skill 采用独特的"纯文档型"架构，核心逻辑完全依赖本地 AWS CLI 调用，自身不包含任何可执行代码，从根本上消除了代码注入和执行风险。

核心用法

用户通过自然语言对话查询 AWS 资源状态，涵盖 EC2、S3、IAM、Lambda、ECS/EKS、RDS、CloudWatch 及账单等全栈服务。Skill 自动识别 AWS 凭证配置（~/.aws/config 或环境变量），优先执行 sts get-caller-identity 验证身份，随后使用只读的 list/describe/get 类命令获取信息。对于健康监控场景，可调用 CloudWatch 指标与日志查询；安全审计场景支持 IAM 权限分析、S3 公开访问检测、安全组暴露面评估及 KMS 密钥使用追踪。

显著优点

1. 零代码攻击面：纯 Markdown 文档结构，无 JavaScript/Python/Shell 等可执行代码，天然免疫供应链攻击和远程代码执行
2. 安全优先设计：强制"默认只读"原则，所有写入/删除/修改操作需显式用户确认，符合最小权限和显式授权最佳实践
3. 透明可控：变更操作前展示精确 CLI 命令，支持 --dry-run 预览，用户完全掌控执行过程
4. 无外部依赖：零第三方库引用，无网络 API 调用，供应链攻击面为零
5. 隐私合规：不收集、不存储、不传输任何用户数据，符合 GDPR 数据最小化原则

潜在局限

• 功能边界依赖本地 CLI：需用户本地预装 AWS CLI 并配置有效凭证，无法独立运行
• 交互式确认增加操作步骤：批量变更场景下频繁确认可能降低效率
• T3 来源可信度：个人开发者/社区项目，虽经 S+ 安全认证，但长期维护承诺不及企业级产品
• 无内置错误恢复：复杂查询失败时需用户手动排查 CLI 配置问题

适合人群

• 云架构师与 DevOps 工程师：日常资源盘点、成本分析、安全配置审计
• 安全合规团队：IAM 权限审查、S3 公开访问检测、密钥使用追踪
• 中小型企业技术负责人：无预算购买商业云管平台时的轻量替代方案
• AWS 学习者：通过自然语言探索 CLI 命令，降低学习曲线

常规风险提示

尽管 Skill 本身达到 S+ 安全等级，但用户仍需注意：本地 AWS 凭证（~/.aws/credentials）的保管责任在自身；误确认破坏性操作（如 terminate-instances）可能导致生产环境事故；建议为日常查询配置只读 IAM 角色，变更操作使用临时 elevated 凭证。定期审查 references/aws-cli-queries.md 中的命令示例是否符合组织安全基线。