AWS IAM: как ограничить разрешения PowerUser - PullRequest
Новая
       6

AWS IAM: как ограничить разрешения PowerUser

0 голосов
/ 28 июня 2018

предположим, у меня есть роль, связанная с управляемой политикой AWS PowerUserAccess: 

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "NotAction": [
                "iam:*",
                "organizations:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceLinkedRole",
                "iam:DeleteServiceLinkedRole",
                "iam:ListRoles",
                "organizations:DescribeOrganization"
            ],
            "Resource": "*"
        }
     ]
}

Это означает, что он разрешает все, но не "iam: *" и не "organization: *", но имеет некоторые ограничения на iam и организацию.

Я хочу прикрепить дополнительную настраиваемую политику, чтобы ограничить разрешение роли облачного следа, чтобы разрешалось использовать только несколько списков облачного пути / доступа для чтения. тогда как мне реализовать эту политику? Должен ли я создать вторую политику следующим образом? 

{
  "Version": "2012-10-17",
  "Statement": [
    {
    "Effect": "Deny",
     "Action": [
      "cloudtrail:*",
      ],
      "Resource": [
         "*"
      ]
    },
    {
    "Effect": "Allow",
    "Action": [
      "cloudtrail:<a few read actions>",
      "cloudtrail:<a few list actioms>"
      ],
      "Resource": [
        "*"
      ]
    }
  ]
}

Ответы [ 2 ]

0 голосов
/ 28 июня 2018

Если у вас есть пользователь с PowerUserAccess, то вам нужно будет предоставить ему другую политику , как вы показали выше.

Deny во второй политике заменит Allow из PowerUserAccess.

В качестве альтернативы, вместо использования PowerUserAccess, вы можете создать новую политику, которая дает им именно те разрешения, которые вы хотите (эффективно комбинируя их оба).

0 голосов
/ 28 июня 2018

Явное запрещение превосходит все остальные политики, поэтому вышеприведенное будет запрещать все обращения к облачной трассе.

Вам придется отрицать только те политики, которые вы не хотите, чтобы пользователи имели.

Дерево решений AWS можно найти здесь

...