AWS Support 基于身份的策略示例 - AWS Support
策略最佳实践使用控制台允许用户查看他们自己的权限

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

AWS Support 基于身份的策略示例

默认情况下，IAM用户和角色无权创建或修改 AWS Support 资源。他们也无法使用 AWS Management Console AWS CLI、或执行任务 AWS API。IAM管理员必须创建IAM策略，授予用户和角色对其所需的指定资源执行特定API操作的权限。然后，管理员必须将这些策略附加到需要这些权限的IAM用户或群组。

要了解如何使用这些示例策略文档创建IAM基于身份的JSON策略，请参阅IAM用户指南JSON选项卡中的创建策略。

策略最佳实践

基于身份的策略非常强大。它们决定是否有人可以在您的账户中创建、访问或删除 AWS Support 资源。创建或编辑基于身份的策略时，请遵循以下指南和建议：

  • 开始使用 AWS 托管策略 — 要 AWS Support 快速开始使用，请使用 AWS 托管策略为员工提供所需的权限。这些策略已在您的账户中提供，并由 AWS维护和更新。有关更多信息，请参阅《IAM用户指南》中的使用 AWS 托管策略权限入门。

  • 授予最低权限 – 创建自定义策略时，仅授予执行任务所需的许可。最开始只授予最低权限，然后根据需要授予其它权限。这样做比起一开始就授予过于宽松的权限而后再尝试收紧权限来说更为安全。有关更多信息，请参阅《IAM用户指南》中的授予最低权限。

  • MFA为敏感操作启用-为了提高安全性，要求IAM用户使用多重身份验证 (MFA) 来访问敏感资源或API操作。有关更多信息，请参阅《IAM用户指南》 AWS中的使用多重身份验证 (MFA)。

  • 使用策略条件来增强安全性 – 在切实可行的范围内，定义基于身份的策略在哪些情况下允许访问资源。例如，您可编写条件来指定请求必须来自允许的 IP 地址范围。您也可以编写条件以仅允许在指定的日期或时间范围内发出请求，或者要求使用SSL或MFA。有关更多信息，请参阅《IAM用户指南》中的IAMJSON策略元素：条件。

使用 AWS Support 控制台

要访问 AWS Support 控制台，您必须拥有一组最低权限。这些权限必须允许您列出和查看有关您 AWS 账户中 AWS Support 资源的详细信息。如果您创建的基于身份的策略比所需的最低权限更严格，则控制台将无法按预期运行，适用于使用该策略的实体（IAM用户或角色）。

为确保这些实体仍然可以使用 AWS Support 控制台，还要将以下 AWS 托管策略附加到这些实体。有关更多信息，请参阅《用户指南》中的向IAM用户添加权限：

对于仅拨打 AWS CLI 或电话的用户，您无需为其设置最低控制台权限 AWS API。相反，只允许访问与你正在尝试执行的API操作相匹配的操作。

允许用户查看他们自己的权限

此示例说明如何创建允许IAM用户查看附加到其用户身份的内联和托管策略的策略。此策略包括在控制台上或使用或以编程方式完成此操作的 AWS CLI 权限。 AWS API

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}