Могу ли я создать пользователя в AWS IAM, который имеет права создавать пользователей и размещать их в определенной группе?

Question

Я относительно новичок в AWS, у меня есть основная учетная запись AWS, но вам нужно создать учетную запись «суперпользователя», которая имеет права только создавать новых пользователей и может добавлять этих пользователей только к определенным предопределенным группам с соответствующими политиками (например, SES-Readonly и SES-FullAccess). Я не хочу, чтобы суперпользователь мог создавать любые другие группы и не мог изменять какие-либо политики, применяемые к группам. Я также не хочу, чтобы этот пользователь имел доступ к другим услугам AWS (например, EC2, S3 и т. Д.). Это возможно? Если да, то как бы выглядела политика?

Я прочитал большую часть документации IAM, и посмотрел на их примеры, но я не нашел каких-либо примеров, которые были похожи на моего случая использования :(

Заранее спасибо!

Answer 1

Да, вам нужно создать IAM пользователя, а затем дать ему эту IAM политику

{ 
    "Statement": [ 
    { 
     "Sid": "Stmt1375475989975", 
     "Action": [ 
     "iam:AddUserToGroup", 
     "iam:CreateUser" 
     ], 
     "Effect": "Allow", 
     "Resource": "arn:aws:iam::152997954706:user/AMISTACK-02-WEB-User-WYEMFOJZ4BDP" 
    } 
    ] 
} 

Арн:. AWS: РМКО :: 152997954706: пользователь/AMISTACK-02-WEB-User-WYEMFOJZ4BDP пример пользователь ARN вы. ll необходимо добавить в ваш конкретный пользовательский arn.

Простой способ создания файлов политики является использование: http://awspolicygen.s3.amazonaws.com/policygen.html