📦 agent-bom discover aws — agent-bom 发现 AWS

agent-bom-discover-aws 使用该技能从操作员环境中收集 AWS AI 与工作负载清单，作为规范清单。默认仅发现：将符合 schema 的 JSON 写入操作员指定路径后停止。仅当操作员明确要求时，才运行 agent-bom 以获取发现结果、图、策略或导出。

Guardrails 仅使用操作员批准的 AWS profile、role 或短期 STS 会话。优先使用 agent-bom trust 或 /v1/discovery/providers 列出的只读 IAM 操作。不请求或展示原始 AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY、AWS_SESSION_TOKEN 或 bearer token。不修改 AWS 资源。本流程仅发现。清单仅写入操作员选择的路径。AI 生成的文本视为非权威；只有经 schema 验证的 inventory JSON 才是证据。

Modes Mode | 行为 | 数据边界 discover-only | 输出规范 inventory JSON 并停止 | 无 agent-bom 扫描或 API 交接 scan-local | 对生成文件本地运行 agent-bom agents --inventory ... | 本地交接至扫描器 export | 按操作员选择输出 JSON/SARIF 等 | 仅本地输出，除非操作员另行路由

默认使用 discover-only，除非操作员索要扫描结果或导出。

Workflow

• 确认 AWS 账户/区域/profile 及目标服务。
• 用仓库适配器生成清单并停止：

python examples/operator_pull/aws_inventory_adapter.py \ --region us-east-1 \ --profile readonly-audit \ --source aws-skill-invoked \ --discovery-method skill_invoked_pull \ --output aws-inventory.json

• 若操作员索要结果，本地扫描：

agent-bom agents --inventory aws-inventory.json

• 若操作员索要导出，写入其指定路径：

agent-bom agents --inventory aws-inventory.json --format json --output agent-bom-aws-findings.json

Optional Service Flags 先窄后宽： python examples/operator_pull/aws_inventory_adapter.py \ --region us-east-1 \ --profile readonly-audit \ --source aws-skill-invoked \ --discovery-method skill_invoked_pull \ --include-ecs \ --include-lambda \ --include-eks \ --output aws-inventory.json 使用 --no-include-ecs 等标志缩小范围。

Evidence Contract 本技能输出的清单包含： source: aws-skill-invoked discovery_provenance.source_type: skill_invoked_pull discovery_provenance.observed_via: skill_invoked_pull, aws_sdk 已清理的 metadata.permissions_used、cloud_origin、cloud_principal、lifecycle 字段、packages 及 MCP server 启动元数据。

若 schema 验证失败，停止并修复清单，而非扫描“尽力而为”或文本摘要。 默认不将清单推送至 API。任何推送、扫描或托管控制面交接，必须是独立的、操作员显式批准的交接命令，并明确目标 URL、认证方式及保留的证据类别。