aws憑證/政策只能訪問自己的資源

Question

我們有多個階段（測試/登臺/預覽/製作）我們的java後端應用程序使用亞馬遜網絡服務。 每個階段都會創建並使用一些SQS隊列和SNS主題，它們也應該能夠刪除。但是，每個階段都不應該能夠訪問彼此的資源。
如何創建aws憑證來表示該憑證？我認爲每個階段我都應該有一個「用戶」（使用訪問密鑰/密鑰）。這些用戶中的每一個都應該可以完全訪問SQS/SNS，但只能使用他們自己創建的資源。我怎樣才能做到這一點？

我想過根據階段，然後爲每個階段的政策與條件ARN必須符合（「喜歡」）在QUEUENAME/topicname使用名稱前綴前綴：

但是，它似乎不工作，我很好奇Condition和Key：有一個ArnLike條件和StringLike條件。如果我帶ArnLike，爲什麼我需要指定Key？關鍵應該是阿恩......我可能不瞭解整個事情。

我認爲必須有一種簡單的方法來做我所需要的，我相信我正在朝錯誤的方向挖掘？！

Answer 1

IAM策略condition僅適用於選定的一組resources as shown here。

例如，您可以restrict user access S3 bucket prefix with their user name in there。由於SQS和SNS當前不屬於它，因此您不能使用帶有「條件」的IAM策略來啓用原子限制。 您只能在SQS和SNS服務策略中啓用這種策略，並具有良好的級別限制。