amazon-iam - 将 IAM 角色限制为具有特定标签的 CRUD CloudFormation 堆栈

Question

我们有多个团队共享一个公共(public) AWS 生产账户。我们希望每个团队都有一个自己的 IAM 角色，使他们能够创建几乎所有类型的资源 (AdministratorAccess)。但是为了分开团队而不修改彼此的堆栈，我们需要一种机制来防止这种情况发生。

实现这一目标有哪些选择？

Answer 1

您可以使用保单文档中的Condition字段。

例如，以下策略将确保您只能删除/重新启动/修改数据库实例，前提是您的用户名被标记为所有者。

  {
      "Action": [
          "rds:DeleteDBInstance",
          "rds:RebootDBInstance",
          "rds:ModifyDBInstance"
      ],
      "Effect": "Allow",
      "Resource": "*",
      "Condition": {
          "StringEqualsIgnoreCase": {
              "rds:db-tag/Owner": "${aws:username}"
          }
      }
  }

请访问Example Policies对于其他示例。

希望这有帮助!