O IAM Access Analyzer orienta você em direção ao privilégio mínimo, fornecendo ferramentas para definir, verificar e refinar permissões. O IAM Access Analyzer fornece análise de acesso, verificações de políticas e geração de políticas.
 
Ao habilitar o IAM Access Analyzer, você cria um analisador, que é um recurso que avalia continuamente suas contas ou sua organização da AWS no que diz respeito ao acesso externo ou ao acesso não utilizado. Um analisador gera descobertas de acesso para seus perfis do IAM, usuários do IAM e recursos da AWS. Um analisador de acesso externo cria descobertas de acesso público e entre contas para recursos e é fornecido sem custo adicional. Um analisador de acesso não utilizado é um recurso pago que simplifica a inspeção do acesso não utilizado para orientar você em direção ao privilégio mínimo. Com esse atributo, você paga por perfil do IAM ou usuário do IAM analisado por analisador por região por mês. Os perfis e usuários do IAM são globais, o que permite criar um analisador para abranger várias regiões.

O IAM Access Analyzer também oferece dois tipos de verificações de políticas. A validação de políticas do IAM Access Analyzer orienta você a criar e validar políticas seguras e funcionais com base em práticas recomendadas do IAM e é fornecida sem custo adicional. As verificações de políticas personalizadas do IAM Access Analyzer são um atributo pago para validar se as políticas criadas pelo desenvolvedor estão de acordo com seus padrões de segurança especificados antes das implantações. As verificações de políticas personalizadas usam o poder do raciocínio automatizado, garantia de segurança comprovada apoiada por provas matemáticas, para que as equipes de segurança detectem proativamente atualizações não conformes nas políticas. Para verificações de políticas personalizadas, a cobrança tem com base o número de verificações executadas ao chamar as APIs do IAM Access Analyzer.

A geração de políticas do IAM Access Analyzer cria uma política refinada com base nas atividades de acesso capturadas nos seus logs e é fornecida sem custo adicional.