查看 IAM 的上次访问信息

登录 AWS Management Console，然后打开 IAM 控制台：https://console.aws.amazon.com/iam/。

在导航窗格中，选择 Groups（组）、Users（用户）、Roles（角色）或 Policies（策略）。

请选择任意用户、用户组、角色或策略名称以打开其 Summary（摘要）页面并选择 Access Advisor（访问顾问）选项卡。根据您选择的资源查看以下信息：

在表中的服务列中，选择 包含上次访问操作信息的一种服务 的名称，以查看 IAM 实体尝试访问的管理操作的列表。您可以查看 AWS 区域以及时间戳（显示某个人上次尝试执行操作的时间）。

对于 包含上次访问操作信息的服务 的服务和管理操作，将会显示上次访问时间列。查看此列中返回的以下可能结果。这些结果会有所不同，具体取决于是否允许某个服务或操作、是否访问了此服务或操作，以及 AWS 是否跟踪此服务或操作以获取上次访问的信息。

您可能对未出现在列表中的操作拥有权限。如果 AWS 当前未包含操作的跟踪信息，则可能会发生这种情况。您不应仅出于缺少跟踪信息来做出权限决定。相反，我们建议您使用此信息来告知和支持授予最小权限的总体策略。检查您的策略以确认访问级别是否适当。

生成报告。请求必须包括要报告的 IAM 资源（用户、用户组、角色或策略）的 ARN。您可以指定要在报告中生成的粒度级别，以查看服务或服务和操作的访问详细信息。该请求返回一个 job-id，您之后可在 get-service-last-accessed-details 和 get-service-last-accessed-details-with-entities 操作中使用它来监控 job-status，直到作业完成。

检索有关使用上一步中的 job-id 参数的报告的详细信息。

此操作根据您在 generate-service-last-accessed-details 操作中请求的资源类型和粒度级别返回以下信息：

了解有关在尝试访问特定服务时使用用户组或策略权限的实体的更多信息。此操作返回具有每个实体的 ARN、ID、名称、路径、类型（用户或角色）的实体列表以及实体上次尝试访问服务的时间。您还可以对用户和角色使用此操作，但它仅返回有关该实体的信息。

了解有关在尝试访问特定服务时身份（用户、用户组或角色）使用的基于身份的策略的更多信息。在指定身份和服务时，此操作返回身份可用于访问指定服务的权限策略的列表。此操作提供策略的当前状态，而不依赖于生成的报告。它也不返回其他策略类型，例如基于资源的策略、访问控制列表、AWS Organizations 策略、IAM 权限边界或会话策略。有关更多信息，请参阅策略类型或对单个账户内的请求进行策略评估。

生成报告。请求必须包括要报告的 IAM 资源（用户、用户组、角色或策略）的 ARN。它返回一个 JobId，您之后可在 GetServiceLastAccessedDetails 和 GetServiceLastAccessedDetailsWithEntities 操作中使用它来监控 JobStatus，直到作业完成。

检索有关使用上一步中的 JobId 参数的报告的详细信息。

此操作根据您在 GenerateServiceLastAccessedDetails 操作中请求的资源类型和粒度级别返回以下信息：

了解有关在尝试访问特定服务时使用用户组或策略权限的实体的更多信息。此操作返回具有每个实体的 ARN、ID、名称、路径、类型（用户或角色）的实体列表以及实体上次尝试访问服务的时间。您还可以对用户和角色使用此操作，但它仅返回有关该实体的信息。

了解有关在尝试访问特定服务时身份（用户、用户组或角色）使用的基于身份的策略的更多信息。在指定身份和服务时，此操作返回身份可用于访问指定服务的权限策略的列表。此操作提供策略的当前状态，而不依赖于生成的报告。它也不返回其他策略类型，例如基于资源的策略、访问控制列表、AWS Organizations 策略、IAM 权限边界或会话策略。有关更多信息，请参阅策略类型或对单个账户内的请求进行策略评估。