1. 基本信息
| 项目 | 内容 |
|---|---|
| 名称 | storage-s3-resiliency-expertise（AWS DevOps Agent Tools 子技能） |
| 项目自述名称 | S3 Resiliency Review Skill |
| 作者/维护者 | AWS（GitHub 组织 aws-samples；该子技能提交者为 AWS 内部工程师） |
| 来源链接 | https://github.com/aws-samples/sample-devops-agent-tools/tree/main/skills/storage-s3-resiliency-expertise |
| 许可证 | Apache-2.0（数据来自 GitHub API，明确） |
| GitHub Stars / Forks | 30 / 29（整仓库口径，来自 GitHub API；该仓库内含 14 个不同 AWS 服务的技能，不代表本技能自身独立热度） |
| 最新版本 | 1.0.1（技能自带 CHANGELOG.md 标注） |
| 安装方式 | 从 GitHub 仓库导入 / 下载后手动复制到任意兼容 Agent Skills 规范的 skills 目录 |
2. 功能介绍与亮点
该技能对一个或多个 Amazon S3 存储桶做结构化只读体检，覆盖九个维度：版本控制、跨区/跨账号复制（含四象限风险模型）、Object Lock 不可变保护、存储桶策略、公开访问屏蔽（含账号级与 ACL 交叉核对）、默认加密、所有权控制、服务端访问日志、静态网站托管暴露面。每个桶最终产出一个 High / Medium / Low / Indeterminate 的“弹性评级”，附逐维度发现与修复建议；输入 1 个桶走单桶详细报告，2–20 个桶自动切换为“舰队”汇总矩阵，21 个以上桶启用带清单跟踪的分批审查。
技术设计上有三点值得注意：① 取数与判定分层——数据采集、判定逻辑、报告格式、舰队编排分别独立成参考文档，主 SKILL.md 只做编排；② 拒绝猜测——任一权限缺失时明确标注“无法核实”并把该桶评级封顶在 Medium，而非按缺省假设蒙判；③ 不读对象内容——全程只调用控制面配置类 API（ListBucket、GetBucketVersioning、GetEncryptionConfiguration 等只读动作），从不调用 GetObject，也不做任何写入/创建/更新/删除操作。技能本体源自 AWS 内部 Support 工程师团队使用的同名审查工具，2026-07-29 移植上线后一周内又完成两轮实质性缺陷修复（最近一次提交为 2026-08-10），迭代速度在同类新上线技能中偏活跃。
3. 适用场景
固定分类：DevOps 与基础设施
适用于已在生产环境使用 Amazon S3、需要定期核查存储桶弹性与数据保护配置的运维/SRE/安全团队：季度合规复核、新桶上线前的基线检查、“这个桶安全吗”这类即席问答、以及需要批量扫描几十个桶找出配置洼地的场景。对没有专职云安全团队、又要规模化管理大量 S3 桶的中小团队尤其实用。
4. 跨 Agent 兼容性
该技能是标准 SKILL.md + YAML front matter 格式，遵循开放的 Agent Skills 规范（agentskills.io），本身不含平台专属二进制或脚本依赖；CHANGELOG 中作者明确写明该技能的交付契约“运行时中立，因此也适用于被移植到其他 agent”的设计目标。
- Claude Code：⚠️ 需适配。可直接复制到
~/.claude/skills/使用，但正文的数据采集统一走 AWS DevOps Agent 的原生use_aws工具，需自备等效的 AWS 只读调用能力（如 AWS CLI 或对应 MCP 服务器）。 - Codex：⚠️ 需适配，理由同上——技能本身面向 AWS DevOps Agent 这一独立产品编写，非 Codex 原生技能，但格式兼容。
- OpenClaw：❓ 未验证，抓取材料中未见相关证据。
- Hermes Agent：❓ 未验证，抓取材料中未见相关证据。
5. 推荐理由
由 AWS 官方团队维护、源自内部 Support 工程师审查工具，把原本需要人工逐项核对的 S3 弹性与数据保护基线检查自动化为一次对话即可触发的分级报告，覆盖版本控制、复制、加密、公开访问等九个维度，且在权限不足时如实标注“无法核实”而非猜测——对缺乏专职云安全团队、又要规模化管理多个 S3 桶的团队价值明确。
6. 评分
| 维度 | 分数 | 说明 |
|---|---|---|
| 受欢迎程度 | 8 | AWS 官方 samples 组织出品，S3 正是 AWS 自有服务，属第一方发布；列于 AWS DevOps Agent 官方技能目录站点；所属 AWS DevOps Agent 产品已于 2026 年 3 月正式 GA 并获行业媒体报道。仓库创建仅约两个半月，30 Star/29 Fork 绝对值尚不高，本技能自身暂无独立第三方讨论 |
| 可用性 | 8 | SKILL.md、README、CHANGELOG 一应俱全，三种官方导入方式（仓库导入/zip/API）文档清晰；所需 IAM 权限均为只读且多数已被托管策略覆盖，无需额外付费支持计划；权限缺失时优雅降级而非报错；近一周内仍有多次实质性提交 |
| 安全性 | 9 | 明确声明“从不读取对象内容、从不执行写入/创建/更新/删除操作”，全部数据获取为只读控制面 API；License 清晰；作者为 AWS 官方组织具名工程师 |
综合 = 三项均值 = 8.33
安全检查清单： ① Shell 命令/权限范围——仅只读 API 调用（list/get 类），无写入删除； ② 联网外发——仅与用户自有 AWS API 通信，无第三方外发； ③ 凭据方式——依赖用户已配置的 AWS IAM 角色权限，非明文 API Key； ④ 可疑指令——未发现，全部为标准配置核查说明； ⑤ 作者信誉——AWS 官方组织，提交者为具名内部工程师； ⑥ License——Apache-2.0，明确； ⑦ 维护时间——最近一次改动在 2026-08-10，活跃维护中。
7. 跟同类 Skills 相比的优势
| 项目 | 定位 | 与本技能的差异 |
|---|---|---|
| azure-storage-microsoft-azure-skills | Azure 官方存储服务选型与多语言 SDK 速查手册，覆盖 Blob/File/Queue/Table/Data Lake 五类服务 | 是“选型参考文档”而非“自动化审计工具”，不产出针对已有资源的评级报告；覆盖 Azure 而非 AWS |
| security-audit-skill（Cloudflare） | 六阶段流水线对应用代码库做安全漏洞挖掘，覆盖注入、权限、业务逻辑等 | 审计对象是应用代码，而非云资源的运行时配置；不涉及存储桶版本控制、复制、加密等基础设施层面的弹性维度 |
| eks-operation-review（同仓库姊妹技能） | 对 Amazon EKS 集群做 12 维度最佳实践健康审查 | 同属 AWS DevOps Agent Tools 体系、方法论一致，但审计对象是 Kubernetes 集群而非对象存储，覆盖完全不同的技术栈 |
8. 用户评价
该技能所属仓库与其自身在第三方平台尚无具名用户评价。其所服务的 AWS DevOps Agent 产品已于 2026 年 3 月正式 GA，获得 InfoQ 等行业媒体报道，预览期数据显示可将平均修复时间降低达 75%；但这些评价针对产品整体，未见专门提及本技能。
9. 其他补充
技能本体附带自动化评测配置（.skilleval.yaml），用作者自建的 “Agent Skill Eval” 体系验证触发准确率与产出质量，这类工程严谨度在同类开源技能中较少见。仓库同时提供 CloudFormation 模板，用于给 AWS DevOps Agent 角色自动配置各技能所需的 IAM 权限。
10. 安装使用方式
- AWS DevOps Agent 官方渠道：在 Agent Space 的 Operator Web App 中，进入 Skills 页面，选择“Import from repository”，粘贴目录链接
https://github.com/aws-samples/sample-devops-agent-tools/tree/main/skills/storage-s3-resiliency-expertise即可导入。 - zip 上传：克隆仓库后将
skills/storage-s3-resiliency-expertise/目录按官方 zip 上传规则打包，通过“Upload skill”手动上传（限 6MB）。 - 手动复制（其他兼容 Agent Skills 规范的工具）：克隆仓库后将该目录整体复制到目标 agent 的 skills 目录（如
~/.claude/skills/、~/.codex/skills/）。 - 前置条件：需具备目标 AWS 账号内 S3 与 CloudTrail 的只读 API 访问权限（
s3:ListBucket、s3:GetBucketVersioning、s3:GetEncryptionConfiguration等，完整清单见 README），多数已被AIDevOpsAgentAccessPolicy托管策略覆盖。 - 触发方式：安装后以自然语言请求如“review my S3 bucket for resiliency”、“is my-bucket safe”、“审计这几个桶：a, b, c”即可触发。
11. 注意事项
- 该仓库定位为 AWS 官方“示例代码”，README 明确建议生产环境部署前先在非生产环境测试，并按自身组织的安全策略复核 IAM 权限配置。
- 若目标 IAM 角色缺少部分只读权限，对应检查项会标注“无法核实”且该桶弹性评级封顶在 Medium，不代表实际配置存在问题。
- 主要面向已实际使用 Amazon S3 的用户，且完整体验依赖 AWS DevOps Agent 产品或自行搭建等效的 AWS 工具调用能力；同仓库内其他技能（如 AWS Health 事件调查）额外要求 AWS Business Support 及以上支持计划，安装同仓库其他技能前需留意各自的 Prerequisites 章节。