![如何限制 AWS IAM RoleA 可以授予其创建的角色(角色 B)的权限](https://linux22.com/image/737201/%E5%A6%82%E4%BD%95%E9%99%90%E5%88%B6%20AWS%20IAM%20RoleA%20%E5%8F%AF%E4%BB%A5%E6%8E%88%E4%BA%88%E5%85%B6%E5%88%9B%E5%BB%BA%E7%9A%84%E8%A7%92%E8%89%B2%EF%BC%88%E8%A7%92%E8%89%B2%20B%EF%BC%89%E7%9A%84%E6%9D%83%E9%99%90.png)
为了让我的开发人员能够使用无服务器框架要部署新的 AWS Lambda 函数,他们必须能够创建角色。我想授予他们创建只能执行有限操作的角色的权限。例如 s3:,dynamodb:、cloudfront:更新*
但我不希望他们(RoleA)能够创建可以对 EC2、IAM 等执行任何操作的角色(RoleB)。您如何限制此权限?
答案1
我也遇到了同样的问题。我发现的唯一解决方案是在实际部署之前创建要与 Lambdas 一起使用的角色,并为他们提供要传递给 Serverless 进行 Lambda 部署的角色 ARN。
这样,他们总是使用我授予他们的相同角色,并且在角色上我附加了仅具有 Lambdas 运行所需权限的自定义策略。
如果我没记错的话,您只需要授予他们的用户列出和附加角色的权限,而不是 CreateRole 权限。