禁用临时安全凭证的权限

临时安全凭证在过期之前一直有效。这些凭证在指定的时间段内有效，即 900 秒（15 分钟）到最长 129600 秒（36 小时）之间。默认会话持续时间为 43200 秒（12 小时）。您可以撤消这些凭证，但还须更改 IAM 用户或角色的权限，以阻止他人通过泄露的凭证进行恶意账户活动。每次使用临时安全凭证发出 AWS 请求时，系统都会评估分配给该凭证的权限。从凭证中删除所有权限后，使用这些权限的 AWS 请求会失败。

可能需要几分钟时间，策略更新才能生效。对于 IAM 角色会话，可以撤消角色的临时安全凭证，以强制担任该角色的所有用户重新进行身份验证并请求新的凭证。有关更多信息，请参阅撤销 IAM 角色临时安全凭证。

您无法更改 AWS 账户根用户的权限。同样，以根用户身份登录时，您无法更改调用 GetFederationToken 或 GetSessionToken 创建的临时安全凭证的权限。因此，我们建议您不要以根用户身份调用 GetFederationToken 或 GetSessionToken。

有关如何更改 IAM 用户的权限的过程，请参阅更改 IAM 用户的权限。

有关如何更改 IAM 角色的权限的过程，请参阅更新角色的权限。

拒绝访问与角色关联的所有 IAM 角色会话

此过程拒绝针对与角色关联的所有 IAM 角色会话的权限。如果担心他人通过以下方式进行可疑访问，可使用此方法：

要更改或删除通过调用 AssumeRole、AssumeRoleWithSAML、AssumeRoleWithWebIdentity、GetFederationToken 或 GetSessionToken 而获取的临时安全凭证分配的权限，可编辑或删除为角色定义权限的基于身份的策略。

更新策略时，所做的更改会影响与该角色关联的所有临时安全凭证的权限，包括在更改该角色的权限策略之前颁发的凭证。

更新策略后，您可以撤消角色的临时安全凭证，以立即撤消对该角色的已颁发凭证的所有权限。

拒绝访问特定 IAM 角色会话

当您使用“拒绝所有”策略更新 IAM 角色或完全删除该角色时，所有有权访问该角色的用户的访问权限都会中断。您可以在不影响与角色关联的所有其他会话的权限的情况下拒绝访问。

可以使用条件上下文键或基于资源的策略拒绝执行 Principal 的权限。

使用条件上下文键拒绝访问临时安全凭证会话

如果您想要拒绝访问特定临时安全凭证会话，而不影响创建该凭证的 IAM 用户或角色的权限，可以在基于身份的策略中使用条件上下文键。对于 IAM 角色，更新策略后，您可以撤消角色的临时安全凭证会话，以立即撤消所有已颁发的凭证。

有关条件上下文键的更多信息，请参阅 AWS 全局条件上下文密钥。

aws:PrincipalArn

您可以在基于身份的策略中使用条件上下文键 aws:PrincipalArn，根据 Amazon 资源名称（ARN）来拒绝访问特定主体。为此，您可以在策略的 Condition 元素中指定与临时安全凭证关联的 IAM 用户、角色或 AWS STS 联合用户会话。

aws:SourceIdentity

您可以在基于身份的策略中使用条件上下文键 aws:SourceIdentity 来拒绝访问与 IAM 角色会话关联的特定源身份。只要在主体使用任何 AWS STS assume-role* CLI 命令或 AWS STS AssumeRole* API 操作担任角色时通过设置 SourceIdentity 请求参数发出角色会话，此方法就适用。您可以通过在策略的 Condition 元素中指定与临时安全凭证关联的源身份来执行此操作。

与上下文键 sts:RoleSessionName 不同，在设置源身份后，无法更改该值。aws:SourceIdentity 键存在于角色执行的所有操作的请求上下文中。当您使用会话凭证担任另一个角色时，源身份将保留到后续角色会话中。从一个角色代入另一个角色的过程称为角色链。

以下策略显示了如何使用条件上下文键 aws:SourceIdentity 拒绝访问临时安全凭证会话的示例。如果您指定与角色会话关联的源身份，则将拒绝具有已命名源身份的角色会话，而不会影响已创建凭证的角色的权限。对于此示例，发出角色会话时主体设置的源身份为 nikki_wolf@example.com。源身份为 nikki_wolf@example.com 的角色会话发出的任何请求都将被拒绝，因为源身份包含在策略条件中，并且策略效果设置为 Deny。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "aws:SourceIdentity": [
            "nikki_wolf@example.com",
            "<source identity value>"
          ]
        }
      }
    }
  ]
}

aws:userid

您可以在基于身份的策略中使用条件上下文键 aws:userid 来拒绝访问与 IAM 用户或角色关联的所有或特定临时安全凭证会话。为此，您可以在策略的 Condition 元素中指定与临时安全凭证关联的 IAM 用户、角色或 AWS STS 联合用户会话的唯一标识符（ID）。

以下策略显示了如何使用条件上下文键 aws:userid 拒绝访问临时安全凭证会话的示例。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "aws:userId": [
            "AIDAXUSER1",
            "AROAXROLE1:*",
            "AROAXROLE2:<caller-specified-role-session-name>",
            "account-id:<federated-user-caller-specified-name>"
          ]
        }
      }
    }
  ]
}

有关主体键值的具体示例，请参阅 主体键值。有关 IAM 唯一标识符以及如何获取此标识符的信息，请参阅唯一标识符。

拒绝访问使用基于资源的策略的指定主体

要限制访问使用基于资源的策略的特定主体，可以在 Condition 元素中使用条件上下文键 aws:PrincipalArn 或 aws:SourceIdentity。基于资源的策略是附加到资源的权限策略，可用于指定有权访问资源的用户，以及此类用户可以对资源执行的操作。

使用 aws:PrincipalARN 条件键时，您可以在策略的 Condition 元素中指定与临时安全凭证关联的 IAM 用户、角色或 AWS STS 联合用户会话的 ARN。以下示例策略演示如何在基于资源的策略中使用 aws:PrincipalARN 上下文键：

{
  "Version": "2012-10-17",
  "Statement": {
    "Principal": [
      "*"
    ],
    "Effect": "Deny",
    "Action": "s3:*",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
    "Condition": {
      "ArnEquals": {
        "aws:PrincipalArn": [
          "arn:aws:iam::222222222222:role/ROLENAME",
          "arn:aws:iam::222222222222:user/USERNAME",
          "arn:aws:sts::222222222222:federated-user/USERNAME"
        ]
      }
    }
  }
}

使用 aws:SourceIdentity 上下文键时，需要在策略的 Condition 元素中指定与角色的临时安全凭证关联的源身份值。只要在主体使用任何 AWS STS assume-role* CLI 命令或 AWS STS AssumeRole* API 操作担任角色时通过设置 SourceIdentity 请求参数发出角色会话，此方法就适用。以下示例演示如何在基于资源的策略中使用 aws:SourceIdentity 上下文键：

{
  "Version": "2012-10-17",
  "Statement": {
    "Principal": [
      "*"
    ],
    "Effect": "Deny",
    "Action": "s3:*",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
    "Condition": {
      "StringLike": {
        "aws:SourceIdentity": [
          "nikki_wolf@example.com",
          "<source identity value>"
        ]
      }
    }
  }
}

如果您仅更新主体的基于身份的策略，则用户仍可以执行基于资源的策略中允许的操作，但基于身份的策略中明确拒绝的操作除外。