amazon-web-services - 用于拒绝用户仅使用我的边界策略创建新角色的 aws iam 策略

Question

我想创建一个策略，限制用户在没有我的权限边界的情况下创建角色！我尝试使用 iam:AttachRolePolicy 和 Iam:putRolePermissionBoundary 但仍然无法正常工作！

Answer 1

如果您通过条件授予用户iam:CreateRole权限，您正在尝试的配置将完成。例如，如果您的权限边界是一个名为myPermissionBoundary的策略，则附加以下策略将允许用户创建角色 IFF 用户还将权限边界附加到该角色。

{
      "Sid": "CreateRoleIffPermInPlace",
      "Effect": "Allow",
      "Action": [
        "iam:CreateRole"
      ],
      "Resource": *,
      "Condition": {
        "StringLike": {
          "iam:PermissionsBoundary": "arn:aws:iam::123456789012:policy/myPermissionBoundary"
        }
      }
    }