amazon-web-services - 确定 Terraform 配置所需的最低 AWS 权限的最有效方法是什么？

Question

我有一个针对 AWS 上的部署的 Terraform 配置。当使用有权执行任何操作的 IAM 用户(即 {actions: ["*"], resources: ["*"]} .

为了自动化应用此 Terraform 配置，我想确定最初应用配置并影响后续更改所需的最小权限集。我特别想避免在策略中给予过宽的权限，例如{actions: ["s3:*"], resources: ["*"]} .

到目前为止，我只是在运行 terraform apply直到发生错误。我查看输出或 terraform 日志输出以查看哪些 API 调用失败，然后将其添加到部署用户策略中。 EC2 和 S3 尤其令人沮丧，因为操作的名称似乎不一定与 API 方法名称一致。我已经进入了几个小时，可以通过简单的方法来判断我有多远。

有没有更有效的方法来做到这一点？

如果 Terraform 建议我需要什么许可/操作，那真是太好了，但这是最好留给 Hashicorp 的产品增强。

Answer 1

虽然我仍然相信这种 super 严格的政策将是一个持续的痛苦并且可能会扼杀生产力(但可能取决于项目)，但现在有一个工具可以做到这一点。
iamlive使用 AWS 开发工具包的客户端监控功能基于执行的 API 调用创建最小策略。由于 Terraform 使用 AWS 开发工具包，这也适用于此。
与我之前(并接受)的答案相反，iamlive 甚至应该正确执行实际的 IAM 操作，这些操作不一定与 API 调用 1:1 匹配(并且将由 CloudTrail 记录)。