AWS：拒絕用戶爲跨賬戶訪問創建角色

我正在管理一個AWS賬戶。現在我的一位非特權用戶要求我授予他創建IAM角色的權利。我知道IAM Roles通常是最佳選擇，但我擔心他們能夠創建「跨賬戶訪問角色」並允許其他人訪問我的AWS賬戶。AWS：拒絕用戶爲跨賬戶訪問創建角色

這可能只允許訪問創建「AWS服務角色」，而不是「跨賬戶訪問角色」？

2015-11-11 zombi_man

據我知道有沒有政策限制IAM角色誰有權訪問IAM用戶可以創建的類型，雖然有「讀僅適用於IAM上IAM用戶的政策。或者，您可以創建一個簡單的Web應用程序，該應用程序僅允許創建特定類型的IAM用戶。應用程序本身可以通過API完全訪問IAM，但是會限制應用程序可以執行的操作。 – jpschroeder

我是正確的理解 - 授予用戶創建IAM角色的權利，這是漏洞？也許對我來說最好不要給他們許可（對IAM角色）？ –

如果這是我的帳戶，我肯定不會授予他們創建IAM角色的權限。 – jpschroeder

您可以允許使用特定的策略。在這個例子中我允許只能使用EMR集羣角色：

{ "Effect": "Allow", "Action": [ "iam:AttachRolePolicy" ], "Resource": "*" }, { "Effect": "Deny", "Action": [ "iam:AttachRolePolicy" ], "NotResource": [ "arn:aws:iam::*:role/EMR_DefaultRole", "arn:aws:iam::*:role/EMR_EC2_DefaultRole" ] }, { "Effect": "Deny", "Action": [ "iam:AttachRolePolicy" ], "Resource": [ "*" ], "Condition": { "ArnNotEquals": { "iam:PolicyArn": [ "arn:aws:iam::aws:policy/service-role/AmazonElasticMapReduceRole", "arn:aws:iam::aws:policy/service-role/AmazonElasticMapReduceforEC2Role" ] } } } ] }

來源

2016-06-07 15:55:03

AWS：拒絕用戶爲跨賬戶訪問創建角色

回答

相關問題