本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

停用臨時安全性憑證的許可

暫時安全憑證在過期之前持續有效。這些憑證在指定的持續時間內有效，從 900 秒 (15 分鐘) 至最長 129,600 秒 (36 小時)。預設工作階段持續時間為 43,200 秒 (12 小時)。您可以撤銷這些憑證，但也必須變更 IAM 使用者或角色的許可，以停止使用遭洩漏的憑證進行惡意帳戶活動。每次使用暫時安全憑證發出 AWS 請求時都會評估分配給該憑證的許可。從憑證中移除所有許可後，使用這些許可的 AWS 請求會失敗。

政策更新可能需要幾分鐘的時間才會生效。對於 IAM 角色工作階段，您可以撤銷角色的臨時安全憑證，以強制所有擔任該角色的使用者重新驗證並請求新的憑證。如需詳細資訊，請參閱撤銷角色的臨時安全憑證。

您無法更改 AWS 帳戶根使用者 的許可。同樣地，以根使用者身分登入時，您無法更改呼叫 GetFederationToken 或 GetSessionToken 建立的暫時安全憑證許可。因此，我們建議您不要以根使用者身分呼叫 GetFederationToken 或 GetSessionToken。

如需有關如何變更 IAM 使用者的許可的程序，請參閱變更 IAM 使用者的許可。

如需有關如何變更 IAM 角色的許可的程序，請參閱更新角色的許可。

拒絕存取與角色關聯的所有 IAM 角色工作階段

此程序拒絕與角色關聯的所有 IAM 角色工作階段的許可。當您擔心被以下身分進行可疑存取時，請使用此方法：

若要變更或移除透過呼叫 AssumeRole、AssumeRoleWithSAML、AssumeRoleWithWebIdentity、GetFederationToken 或 GetSessionToken 而取得的指派給臨時安全憑證的許可，您可以編輯或刪除為角色定義許可的身分型政策。

在更新政策時，所做出的變更將影響與該角色關聯的所有暫時安全憑證的許可，包括在更改該角色的許可政策之前發行的憑證。

更新政策之後，您可以撤銷角色的暫時安全憑證以立即撤銷角色所發行憑證的所有許可。

拒絕存取特定 IAM 角色工作階段

當您使用全部拒絕政策更新 IAM 角色或完全刪除該角色時，有權存取該角色的所有使用者都會中斷。您可以拒絕存取，而不會影響與該角色關聯的所有其他工作階段的許可。

您可以使用條件內容索引鍵或以資源為基礎的政策拒絕 Principal 的許可。

拒絕存取具有條件內容索引鍵的臨時安全憑證工作階段

您可以在想要拒絕存取特定臨時安全憑證工作階段的情況下使用身分型政策中的條件內容索引鍵，而不影響建立憑證的 IAM 使用者或角色的許可。對於 IAM 角色，在更新政策之後，您還可以撤銷角色的臨時安全憑證工作階段，以立即撤銷所有發行的憑證。

如需條件內容索引鍵的詳細資訊，請參閱 AWS 全域條件內容索引鍵。

aws:PrincipalArn

您可以在身分型政策中使用條件內容索引鍵 aws:PrincipalArn，依 Amazon Resource Name (ARN) 拒絕存取特定主體。您可以透過在政策的 Condition 元素中指定臨時安全憑證關聯的 IAM 使用者、角色或 AWS STS 聯合身分使用者 ARN，來執行此操作。

aws:SourceIdentity

您可以在身分型政策中使用條件內容索引鍵 aws:SourceIdentity，拒絕存取與 IAM 角色工作階段關聯的特定來源身分。只要當主體使用任何 AWS STS assume-role* CLI 命令或 AWS STS AssumeRole* API 操作擔任角色時，透過設定 SourceIdentity 請求參數發出角色工作階段，就會套用。您可以透過在政策的 Condition 元素中指定臨時安全憑證關聯的來源身分來執行此操作。

與內容索引鍵 sts:RoleSessionName 不同，在設定來源身分之後，無法變更值。aws:SourceIdentity 索引鍵會出現在由角色所採取的所有動作的請求內容中。當您使用工作階段憑證來擔任另一個角色時，來源身分仍然存在於後續角色工作階段。從另一個角色取得及擔任角色稱為角色鏈結。

下列政策顯示如何使用條件內容索引鍵 aws:SourceIdentity 拒絕存取暫時安全憑證工作階段的範例。如果您指定與角色工作階段關聯的來源身分，則它會拒絕含有具名來源身分的角色工作階段，而不會影響建立憑證的角色的許可。在此範例中，發出角色工作階段時，主體設定的來源身分為 nikki_wolf@example.com。具有來源身分 nikki_wolf@example.com 的角色工作階段發出的任何請求都會遭拒，因為來源身分包含在政策條件中，且政策效果設定為 Deny。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "aws:SourceIdentity": [
            "nikki_wolf@example.com",
            "<source identity value>"
          ]
        }
      }
    }
  ]
}

aws:userid

您可以在身分型政策中使用條件內容索引鍵 aws:userid 拒絕存取與 IAM 使用者或角色關聯的所有或特定臨時安全憑證工作階段。您可以透過在政策的 Condition 元素中指定臨時安全憑證關聯的 IAM 使用者、角色或 AWS STS 聯合身分使用者的唯一識別碼 (ID)，來執行此操作。

下列政策顯示如何使用條件內容索引鍵 aws:userid 拒絕存取暫時安全憑證工作階段的範例。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": "*",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "aws:userId": [
            "AIDAXUSER1",
            "AROAXROLE1:*",
            "AROAXROLE2:<caller-specified-role-session-name>",
            "account-id:<federated-user-caller-specified-name>"
          ]
        }
      }
    }
  ]
}

如需主體索引鍵值的特定範例，請參閱 主體索引鍵值。如需有關 IAM 唯一識別碼以及如何取得它們的資訊，請參閱唯一識別碼。

使用資源型政策拒絕存取特定主體

若要使用資源型政策限制對特定主體的存取，您可以使用 Condition 元素中的條件內容索引鍵 aws:PrincipalArn 或 aws:SourceIdentity。資源型政策是連接至資源的許可政策，可控制誰可以存取資源，以及他們可以對其執行哪些動作。

當您使用 aws:PrincipalARN 內容索引鍵時，在政策的 Condition 元素中指定與臨時安全憑證關聯的 IAM 使用者、角色或 AWS STS 聯合身分使用者工作階段的 ARN。下列範例政策示範如何在資源型政策中使用 aws:PrincipalARN 內容索引鍵：

{
  "Version": "2012-10-17",
  "Statement": {
    "Principal": [
      "*"
    ],
    "Effect": "Deny",
    "Action": "s3:*",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
    "Condition": {
      "ArnEquals": {
        "aws:PrincipalArn": [
          "arn:aws:iam::222222222222:role/ROLENAME",
          "arn:aws:iam::222222222222:user/USERNAME",
          "arn:aws:sts::222222222222:federated-user/USERNAME"
        ]
      }
    }
  }
}

當您使用 aws:SourceIdentity 內容索引鍵時，在政策的 Condition 元素中指定與角色的臨時安全憑證關聯的來源身分值。只要當主體使用任何 AWS STS assume-role* CLI 命令或 AWS STS AssumeRole* API 操作擔任角色時，透過設定 SourceIdentity 請求參數發出角色工作階段，就會套用。下列範例示範如何在資源型政策中使用 aws:SourceIdentity 內容索引鍵：

{
  "Version": "2012-10-17",
  "Statement": {
    "Principal": [
      "*"
    ],
    "Effect": "Deny",
    "Action": "s3:*",
    "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
    "Condition": {
      "StringLike": {
        "aws:SourceIdentity": [
          "nikki_wolf@example.com",
          "<source identity value>"
        ]
      }
    }
  }
}

如果您僅更新主體的身分型政策，其仍然可以執行資源型政策中允許的動作，除非在身分型政策中明確拒絕這些動作。