基于标签限制访问时无法访问其他角色

Question

我希望我的角色只能访问带有特定标签的角色。因此，我创建了一个策略：

    "Statement": [
        {
            "Action": [
                "iam:GetRole"
            ],
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringLike": {
                    "iam:ResourceTag/key": "value"
                }
            }
        }
    ]
}

对于每个相关的角色，我都添加了带有-key-value 属性的标签。

但是，当我使用特定角色时，我不断收到以下错误： AccessDenied. User doesn't have permission to call iam:GetRole

有什么想法吗？

Answer 1

我用这个 json 创建了一个策略，并将它附加到一个我用 lambda 运行的角色。我成功地获得了具有键值标签的 IAM:Role 的 arn，并且拒绝了没有的访问。也许您没有正确附加策略，或者您正在尝试使用不同的角色执行操作，请尝试创建实例配置文件并将其附加到 ec2 并从那里或通过 lambda 运行命令。 tldr; json 很好，问题在其他地方。

{
"Version": "2012-10-17",
"Statement": [
    {
        "Condition": {
            "StringLike": {
                "iam:ResourceTag/key": "value"
            }
        },
        "Action": [
            "iam:GetRole"
        ],
        "Resource": "*",
        "Effect": "Allow"
    }
]

}

这是我使用的完整 CF 堆栈。它是 yaml，显然应该根据您的需要更改原理。

 Resources:
  Role: 
    Type: "AWS::IAM::Role"
    Properties:
      AssumeRolePolicyDocument:
        Version: '2012-10-17'
        Statement:
        - Effect: Allow
          Principal:
            Service:
            - lambda.amazonaws.com
            - edgelambda.amazonaws.com
          Action: sts:AssumeRole
      ManagedPolicyArns:
      - !Ref Policy
  Policy:
      Type: AWS::IAM::ManagedPolicy
      Properties:
          ManagedPolicyName: Get_Role_With_Tag__Policy
          Path: /
          PolicyDocument:
            Version: 2012-10-17
            Statement:
              - Effect: Allow
                Action:
                - iam:GetRole
                Condition:
                  StringLike:
                    iam:ResourceTag/key: "value"
                Resource: "*"