将AWS IAM角色的假设限制为特定组

Question

要点：我在AWS账户'B'中有几个ECR存储库，并希望将操作限制在帐户'A'中的'admin-users'IAM组。我正在通过Cloudformation创建这些资源。

我有一个关于回购的政策，该政策将行动限制在A中的“管理员角色”IAM角色。因此，我希望只允许'admin-users'的成员担任该角色;但团体不能成为校长，并且似乎没有条件来测试团体成员资格。我相信我能够允许管理员用户通过管理员用户的内联策略来承担管理员角色，但是角色需要AssumeRolePolicyDocument，我看不到任何创建无操作假设角色策略的方法。

Answer 1

你是对的。群组目前不能成为假定角色的原则。此限制对其他资源（例如对S3的组访问）具有类似的影响。

实现此目的的唯一方法是通过组中的策略集来限制假定的角色。然而，角色本身需要允许root原则。这给你的安全留下了一个大漏洞。

希望AWS有一天能解决这个问题。

Answer 2

您可以有2个政策：

• acc B中的P1，它附加到acc B中的角色并允许访问ECR存储库。
• acc a中的P2允许在acc B中承担角色并且附加到acc A中的组

您的用户将在acc A中添加到组中。因此，他们获得权限（P2）以承担acc B中的角色（如在Switch角色中），允许他们访问acc B中的ECR存储库（P1）

这里还有一个教程：https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_cross-account-with-roles.html