amazon-web-services - 我可以使用 AWS IAM/Cognito 获得动态用户特定权限吗？

Question

我正在尝试开发几乎完全基于 AWS 服务的应用程序架构。

此应用程序同时具有 User 和 Organization “实体”。除了可能之外，User 可以是一个或多个组织的 admin 、 role-x 或 role-y 。 ( role-x 和 role-y 只是具有某些特定权限集的某些角色的占位符。User 也可能是独立的(也就是说，在任何 Organization 上都没有角色)。

我们目前的想法是使用 DynamoDB 来存储组织和用户特定的数据。对于用户来说，这可能包括一些基本信息(地址、电话号码等)，对于组织来说，它可能包括“使命宣言”、“公司地址”等字段。

组织的 admin 将能够编辑所有组织字段，而 role-x 可能只能在读取所有其他字段时更新“任务说明”。

由于我提到单个用户可能在许多不同的组织中担任角色，因此可能看起来像:

user1:
    organizations:
        123: 'admin'
        456: 'role-x'
        789: 'admin'

还值得注意的是，这些角色分配是可修改的。可以邀请新用户或现有用户担任组织的特定角色，并且组织可以从角色中删除用户。

这是一种相当简单的布局类型，但我想非常清楚用户、组织和角色的多对多性质。

我一直在阅读 IAM 和 Cognito 文档，以及它与对 DynamoDB 项目或 S3 存储桶的细粒度控制的关系——但许多示例关注的是单个用户访问他们自己的数据，而不是多对多角色风格布局。

如何在 AWS 上实现这种类型的权限系统？

(如果需要使用特定的 Identities 更新策略定义(例如，对于 Organization )，这是否可以通过编程方式可靠地完成 - 或者像这样即时修改策略是不明智的？)

Answer 1

上面的答案已经过时了。
AWS 最近添加了 Cognito-Groups。这提供了更大的灵 active

您可以使用文章中描述的技术来实现:
https://aws.amazon.com/blogs/aws/new-amazon-cognito-groups-and-fine-grained-role-based-access-control-2/