amazon-web-services - 如何限制 IAM 用户承担具有特定名称的跨账户角色

Question

我可以申请哪个条件来限制 IAM 仅承担具有特定名称的角色？

该用户在多个 AWS 账户上拥有信任关系，这些账户都包含一个角色名称“MyRole”。所以我想要这样的条件:

承担的角色ARN ~= arn:aws:iam::[0-9]*:role/MyRole

谢谢

Answer 1

要让您的 IAM 用户在多个账户中承担特定名称的角色，请明确地将所有必需的角色 ARN 列入白名单。这是执行此操作的安全方法。

"Resource": [
    "arn:aws:iam::AWS-ACCOUNT-ID1:role/MyRole",
    "arn:aws:iam::AWS-ACCOUNT-ID2:role/MyRole",
    "arn:aws:iam::AWS-ACCOUNT-ID3:role/MyRole"
]

这是完整的政策:(AWS-ACCOUNT-ID 是没有连字符的 12 位数字)

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sts:AssumeRole"
            ],
            "Resource": [
                "arn:aws:iam::AWS-ACCOUNT-ID1:role/MyRole",
                "arn:aws:iam::AWS-ACCOUNT-ID2:role/MyRole",
                "arn:aws:iam::AWS-ACCOUNT-ID3:role/MyRole"
            ]
        }
    ]
}

但是，查看您尝试使用通配符代替帐户 ID 的尝试，我想强调以下是可能的，但会使您的公司面临安全风险。它违反了 principle of least privilege .

在任何 AWS 账户中担任任何角色的权限(不安全)

"Resource": [
    "arn:aws:iam::*"
]

在任何 AWS 账户中担任“MyRole”的权限(不安全)

"Resource": [
    "arn:aws:iam::*:role/MyRole"
]

通过此通配符访问权限，IAM 用户可以代表您的公司在任何第三方 AWS 账户中承担“MyRole”(或任何角色)。