amazon-web-services - 允许用户在阻止访问 IAM 的同时更改自己的密码的 AWS IAM 策略

Question

我的开发人员有一些管理帐户，他们应该能够管理所有 aws 资源，但不应该能够管理用户/root 属性。因此，我通过以下策略限制了对 IAM 的访问:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "NotAction": "iam:*",
      "Resource": "*"
    }
  ]
}

但是，这会阻止用户更改自己的密码。如何阻止他们访问 IAM 但允许他们更改密码？

Answer 1

您分配的策略授予对除 AWS Identity and Access Management (IAM) 之外的所有操作的访问权限。
因此，要允许用户更改其密码，请将另一个(附加)策略附加到授予更改密码权限的用户/组:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "SomeSID",
            "Effect": "Allow",
            "Action": [
                "iam:ChangePassword"
            ],
            "Resource": "arn:aws:iam::account-id-without-hyphens:user/${aws:username}"
        }
    ]
}

虽然“拒绝”通常会覆盖“允许”，但原始策略并未使用拒绝——它仅授予除 IAM 之外的所有内容的许可。因此，额外的“允许”将授予所需的权限。