amazon-web-services - 如何在 AWS 上创建真正具有最低权限的部署用户？

Question

我们希望让部署用户在我们的管道中使用，纯粹用于编程访问。这些用户将为每个项目创建，而不是为所有堆栈使用一个部署用户。

我正在尝试锁定这些部署用户有权更改的资源，但我很困难，因为在创建堆栈之前 ARN 尚不可知，这意味着创建 IAM 策略以事实证明，将其仅限于某些资源是很困难的。

例如，假设我想创建一个应用程序负载均衡器(带有监听器、规则等) - 我希望部署用户有权创建 ALB(很简单)，但我希望部署用户仅有权创建删除或修改新创建的 ALB，而不是任何其他 ALB。

有什么技巧/聪明的方法可以做到这一点吗？ ARN 是“随机”生成的，因为我不喜欢命名我的资源，并且如果我更改需要替换的设置，则必须修改名称。

Answer 1

您可以使用 IAM 策略条件根据标签限制对资源的访问。

例如，您可以添加两个带有条件元素的策略语句，以允许对资源执行特定操作:

• 仅当请求包含 owner=user1 标记时，User1 才能创建资源。
• 仅当资源附加了 owner=${aws:username} 标签时，用户 1 才能更新或删除资源。

您可以在本指南中找到策略示例: https://docs.aws.amazon.com/IAM/latest/UserGuide/access_tags.html