amazon-web-services - 我怎样才能允许一个组承担一个角色？

Question

如何允许组的所有成员在 AWS IAM 中担任角色？

我尝试使用以下语句，但如 AWS IAM Principal Element 中所述, Group 不能是 Principal。

我想实现如下目标:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::***:group/developer"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

想法是该组的所有成员group/developer应该能够承担这个角色。目的是让我不必单独指定组中的每个成员。

有没有办法实现这一目标？

Answer 1

将策略附加到组 以授予在所需角色上调用 sts:AssumeRole 的权限:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "123",
            "Effect": "Allow",
            "Action": [
                "sts:AssumeRole"
            ],
            "Resource": [
                "arn:aws:iam::123456789012:role/desired-role"
            ]
        }
    ]
}

此外，在角色 上附加 信任策略。示例策略(下方)信任账户中的任何用户，但他们还需要 sts:AssumeRole 权限(上方)来承担该角色。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:root"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}