amazon-web-services - AWS IAM权限边界的真正好处是什么？

Question

如果AWS中的用户已附加AdministratorAccess策略，则该用户具有该帐户的完全AWS访问权限。但是，如果将权限限制附加到该用户，则可以限制其访问权限。例如，假设用户的权限边界设置为AmazonDynamoDBFullAccess，则完全访问权限仅限于DynamoDB。
以上方法的真正好处是，只需删除AdministratorAccess策略，并将AmazonDynamoDBFullAccess附加到用户即可实现相同的限制/权限。
还有什么需要了解的吗？

Answer 1

这不是IAM权限边界的目的，也不是它的操作方式。
从Permissions boundaries for IAM entities - AWS Identity and Access Management:

AWS supports permissions boundaries for IAM entities (users or roles). A permissions boundary is an advanced feature for using a managed policy to set the maximum permissions that an identity-based policy can grant to an IAM entity. An entity's permissions boundary allows it to perform only the actions that are allowed by both its identity-based policies and its permissions boundaries.

为了举例说明，假设开发人员需要在其软件开发职责中创建IAM角色的权限。这是非常危险的分配权限，因为他们可以创建具有完全管理员权限的角色，从而为自己授予所需的更多权限。
为了限制他们的能力，可以将 权限边界添加到开发人员，以便他们只有在将他们定义的角色附加到限制角色权限的权限边界上时，才能创建IAM角色。仅用于访问S3和DynamoDB，而不能用于其他服务)。这可能有点令人困惑，但是可以将其视为一组规则，必须将这些规则附加到它们所赋予的任何权限上，以使它们无法授予全部权限。这是向他们授予权限的一种方法，但是将他们可以授予其他实体的权限限制为。
该概念与分配您在问题中提到的IAM托管策略完全不同。在大多数情况下，分配一个IAM托管策略就足够了。仅当有人有权创建新的IAM实体时，权限边界才真正适用。