Политика AWS ограничивает разрешения на основе обслуживания

Question

Мне нужно предоставить разрешение на создание роли IAM пользователю, но с условием, что если он сделает это только из какой-либо службы AWS. Например, если пользователь, выполняющий стек облачной информации и пытающийся создать роль IAM, ему следует разрешить. если он вручную создает роль, то ему должно быть отказано. или если человек создает кодовую линию, он должен иметь разрешение на создание роли.

Answer 1

Понятие, которое вы ищете, звучит как связанные с сервисом роли.

https://docs.aws.amazon.com/IAM/latest/UserGuide/using-service-linked-roles.html

https://aws.amazon.com/blogs/security/introducing-an-easier-way-to-delegate-permissions-to-aws-services-service-linked-roles/

Однако я не думаю, что это поддерживаетсядля CloudFormation или CodePipeline

https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html