amazon-web-services - AWS 策略拒绝对所有生产资源的访问

Question

在我们的团队中，我们的生产和开发堆栈都位于同一个 AWS 账户中。这些堆栈通过其资源名称来区分。例如，我们有一个 S3 存储桶 example-dev-bucket 和 example-prod-bucket 。因此，所有这些资源也可以通过它们的 arn 来区分，例如arn:aws:s3:::example-dev-bucket 和 arn:aws:s3:::example-prod-bucket 。现在我想创建一个 IAM 角色，该角色授予对除生产资源之外的所有资源的访问权限。

要授予对所有资源的访问权限很容易，我使用以下语句添加了一个策略

Effect: Allow
Action:
  - '*'
Resource:
  - '*'

允许所有资源后，我想添加一个策略来拒绝生产资源。仅对 S3 资源执行此操作即可正常工作，如下所示。

Effect: Deny
Action:
  - '*'
Resource:
  - 'arn:aws:s3:::*-prod-*'

但是，同时对多个服务执行此操作似乎不是有效的语法。我尝试过类似 *-prod-* 和 arn:aws:*:*:*:*:*-prod-*。

对我来说，一个可能的解决方案是添加每个服务，就像添加 S3 服务一样。然而，人们很容易忘记服务。相反，我只需要一行，其中包含 arn 中具有 -prod- 的所有资源。

Answer 1

您可以在资源名称中使用通配符来实现此目的。

例如，如果您在所有资源中包含“Prod”和“Dev”等环境术语，则可以创建包含这些术语的策略。

这可能是 DynamoDB 开发角色的策略:

{
  "Version": "2012-10-17",
  "Statement": {
    [
       "Effect": "Allow",
       "Action": "dynamodb:*",
       "Resource": "arn:aws:dynamodb:us-east-1:account-id:*Dev*"
    ],
    [
       "Effect": "Deny",
       "Action": "dynamodb:*",
       "Resource": "arn:aws:dynamodb:us-east-1:account-id:*Prod*"
    ]
  }
}

您可以对 S3 和任何其他服务执行相同的操作。

However, it's easy to forget services.

如果不使用标签，就没有一种简单的方法可以用一个策略覆盖所有服务。通配符不能代替资源本身(例如:arn:aws:*)

引用:https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_resource.html#reference_policies_elements_resource_wildcards