mizcausevic-dev/gcp-iam-policy-diff-lab

# gcp-iam-policy-diff-lab [](https://github.com/mizcausevic-dev/gcp-iam-policy-diff-lab/actions/workflows/ci.yml) [](./LICENSE) [](https://github.com/mizcausevic-dev/gcp-iam-policy-diff-lab/actions/workflows/pages.yml) 用于 GCP IAM policy 快照、公开绑定漂移、特权角色变更、组织 policy 不匹配以及补救排序的操作员控制平面。 ## 为什么会有这个项目 - 当 GCP IAM 快照仅仅停留在原始导出文件中，而没有呈现在一个操作员易读的界面上时，它们就会变得很危险。 - 公开绑定、特权角色和组织 policy 漂移需要在审计、事件或发布窗口发生偏移之前保持综合可见性。 - 寻找 `GCP / IAM / org policy / cloud security` 证明的招聘人员应该看到一个真实的身份与防护机制仪表板，而不是一个简单的关键字展示页。 - 这个仓库将 IAM policy diff 数据转化为一个用于公开绑定、角色漂移、陈旧快照和 policy 清理状态的控制平面。 ## 为什么这很重要（KG Embedded 关联） 这个仓库展示了用于云操作的 GCP 身份与防护机制控制平面原语：在一个操作员界面中提供公开绑定、特权角色漂移、快照维护和补救数据包。Kinetic Gain Embedded 将这种模式扩展到了产品化的应用内仪表板中，在这些场景下，平台、IAM 和安全团队需要内容丰富的界面，而无需暴露原始的管理后端或云凭证。请参阅 [kineticgain.com/embedded](https://kineticgain.com/embedded)。 ## 它展示了什么 - 在一个仪表板中提供针对 `policy-lane` 的公开绑定、基本角色漂移、token creator 授权以及快照维护的可视性 - `binding-risks` 检测功能，涵盖 `allUsers` 暴露、`roles/editor` 漂移、service-account token creator 授权、组织 policy 不匹配以及陈旧的 diff 窗口 - 用于公开清理、角色替换、token creator 审查和快照刷新的补救数据包 - 对捕获的 GCP IAM 快照 diff 进行离线安全分析 - 面向招聘人员的 GCP IAM / cloud security 证明，补充了 Microsoft 和 AWS 管理通道 ## 路由 - `/` - `/policy-lane` - `/binding-risks` - `/drift-posture` - `/verification` - `/docs` ## API - `/api/dashboard/summary` - `/api/policy-lane` - `/api/binding-risks` - `/api/drift-posture` - `/api/verification` - `/api/sample` ## 截图     ## CLI ``` npx gcp-iam-policy-diff fixtures/gcp-policy-diff.json ` --format json|markdown|summary ` --now 2026-05-30T00:00:00Z ` --stale-diff-after-hours 24 ` --fail-on-high ` --out report.md ``` 输入结构： ``` { "snapshots": [ ... ], "diffs": [ ... ] } ``` ## 本地开发 ``` cd gcp-iam-policy-diff-lab npm install npm run dev ``` 打开： - [http://127.0.0.1:5515/](http://127.0.0.1:5515/) - [http://127.0.0.1:5515/policy-lane](http://127.0.0.1:5515/policy-lane) - [http://127.0.0.1:5515/binding-risks](http://127.0.0.1:5515/binding-risks) - [http://127.0.0.1:5515/drift-posture](http://127.0.0.1:5515/drift-posture) - [http://127.0.0.1:5515/verification](http://127.0.0.1:5515/verification) ## 验证 - `npm run lint` - `npm run typecheck` - `npm run coverage` - `npm run build` - `npm run demo` - `npm run smoke` - `npm run prerender` - `npm run render:assets` ## 生产状态 | 方面 | 状态 | |--------|--------| | CI | Node 20 + 22 matrix — lint · typecheck · coverage · build · demo · smoke · prerender · `npm audit` | | License | [AGPL-3.0-or-later](./LICENSE) | | Deploy | 静态预渲染 -> **https://gcp.kineticgain.com/** | | 数据状态 | 仅包含合成示例数据；无实时 GCP 凭证、项目 token 或生产环境 policy 导出 | ## 文档 - [Kinetic Gain Embedded 关联](./docs/KINETIC_GAIN_EMBEDDED.md) - [更新日志](./CHANGELOG.md) ## 搭配使用 - [**`entra-access-review-control-plane`**](https://github.com/mizcausevic-dev/entra-access-review-control-plane) — Microsoft Entra 访问审查 - [**`intune-device-compliance-ops`**](https://github.com/mizcausevic-dev/intune-device-compliance-ops) — Intune 设备合规性 - [**`aws-iam-access-analyzer-console`**](https://github.com/mizcausevic-dev/aws-iam-access-analyzer-console) — AWS IAM analyzer 状态 它们共同构成了一个更广泛的面向招聘人员的云管理通道：Microsoft 租户治理加上 AWS 和 GCP 的身份/边界证明。

标签：GCP, IAM, MITM代理, 互联网扫描, 可视化仪表盘, 自动化攻击