AWS：将用户添加到特定组的 IAM 策略

Question

我正在尝试为组（“TheGroup”）设置策略，当附加到用户时，该策略将允许该用户创建新用户并将其分配给另一个特定组（“TheSubGroup”）。

我相信我的 CreateUser 部分大部分已完成，但我不确定如何在以下策略的第二部分中也允许此用户 AddUserToGroup("TheSubGroup") 的语法。

有什么想法吗？

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ManageUsersPermissions",
      "Effect": "Allow",
      "Action": [
        "iam:ChangePasword",
        "iam:CreateAccessKey",
        "iam:CreateLoginProfile",
        "iam:CreateUser",
        "iam:DeleteAccessKey",
        "iam:DeleteLoginProfile",
        "iam:DeleteUser",
        "iam:UpdateAccessKey",
        "iam:ListAttachedUserPolicies",
        "iam:ListPolicies",
        "iam:ListUserPolicies",
        "iam:ListGroups",
        "iam:ListGroupsForUser",
        "iam:GetPolicy",
        "iam:GetAccountSummary"
      ],
      "Resource": "*"
    },
    {
      "Sid": "LimitedGroupAssignment",
      "Effect": "Allow",
      "Action": [
        "iam:AddUserToGroup",
        "iam:RemoveUserFromGroup"
      ],
      "Resource": "*",
      "Condition": {
        "ArnEquals": {
          "iam:PolicyArn": [
            "arn:aws:iam::1234567890:group/TheSubGroup"
          ]
        }
      }
    }
  ]
}

Answer 1

AddUserToGroup action applies to group resources。尝试定位组资源：

{
  "Sid": "LimitedGroupAssignment",
  "Effect": "Allow",
  "Action": [
    "iam:AddUserToGroup",
    "iam:RemoveUserFromGroup"
  ],
  "Resource": "arn:aws:iam::1234567890:group/TheSubGroup"
}