AWS 中设置的权限

Question

我在 AWS 中有一个组作为 Incident-Security-operation，该组对所有 AWS 账户只有只读权限。但我想为一个帐户授予完全权限或管理员权限，并为其余帐户授予只读权限。你能帮我写下特定帐户条件的许可吗？我尝试了 ArnLike 和 ArnEqual 但对我不起作用。我们为 SSO 集成了 AD

Answer 1

关于 IAM 用户和组，此用例的最佳实践是实施 两个 IAM 组，例如 Incident-Security-operation 和 Incident-Security-operation-admin，并根据需要为每个组授予权限。然后根据需要将用户分配到每个组。

与在单个策略中调节权限相比，这种方法可以培养更好的安全态势。

从操作的角度来看，在适当的 IAM 组之间移动用户比在策略语法中管理条件逻辑更容易、更透明。使用 IAM 组还意味着每个组中的用户成员资格都易于审核。