amazon-web-services - 尝试授予 IAM 用户创建和分配角色的权限，但限制可用策略的类型

Question

我正在尝试授予用户创建角色的权限(因为我没有提供创建访问 key 的权限)。

我想出了一个允许用户创建和分配角色的策略。我现在遇到的问题是，即使用户不是管理员，也可以使用“AdministratorAccess”策略创建角色。有没有办法拒绝选项列表中的某些策略？

以下是通过提供的向导完成的策略。

谢谢，

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "iam:CreateInstanceProfile",
        "iam:UpdateAssumeRolePolicy",
        "iam:ListRoleTags",
        "iam:UntagRole",
        "iam:PutRolePermissionsBoundary",
        "iam:TagRole",
        "iam:RemoveRoleFromInstanceProfile",
        "iam:CreateRole",
        "iam:AttachRolePolicy",
        "iam:PutRolePolicy",
        "iam:ListInstanceProfilesForRole",
        "iam:PassRole",
        "iam:DetachRolePolicy",
        "iam:DeleteRolePolicy",
        "iam:ListAttachedRolePolicies",
        "iam:ListRolePolicies",
        "iam:ListPolicies",
        "iam:GetRole",
        "iam:ListRoles",
        "iam:DeleteRole",
        "iam:UpdateRoleDescription",
        "iam:CreateServiceLinkedRole",
        "iam:UpdateRole",
        "iam:DeleteServiceLinkedRole",
        "iam:GetRolePolicy"
      ],
      "Resource": "*",
      "Condition": {
        "BoolIfExists": {
          "aws:MultiFactorAuthPresent": "true"
        }
      }
    }
  ]
}

编辑:2020 年 6 月 26 日我尝试按照建议使用Permission Boundaries，但也许我的理解还不够。我制定了一项新政策:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyAdmin",
            "Effect": "Deny",
            "Action": [
                "iam:*"
            ],
            "Resource": "*",
            "Condition": {
                "ArnEquals": {
                    "iam:PolicyArn": [
                        "arn:aws:iam::aws:policy/AdministratorAccess"
                    ]
                }
            }
        }
    ]
}

我认为这意味着在涉及 AdministratorAccess 策略时拒绝任何/所有 iam 操作。但是，结果是所有角色分配/创建都被拒绝，即使附加的策略不是 AdministratorAccess。但是，如果我设置策略并添加 ArnNotEquals AdministratorAccess 的条件 - 那么我似乎能够做我想做的事(只是将其用作策略，而不是边界)

根据我所看到的，权限边界可能是正确的方法，但我还不能完全理解它，所以我犹豫是否将其标记为“正确答案”。

Answer 1

您可以使用 AWS IAM 权限边界:Permissions Boundaries for IAM Entities - AWS Identity and Access Management

“权限边界是一项高级功能，用于使用托管策略来设置基于身份的策略可以授予 IAM 实体的最大权限。实体的权限边界允许它仅执行其基于身份的策略和权限边界所允许的操作。“

以下是 AWS 安全博客上的分步介绍:Delegate permission management to developers by using IAM permissions boundaries | AWS Security Blog