Как я могу позволить группе взять на себя роль?

Question

Как я могу позволить всем членам группы взять на себя роль в AWS IAM?

Я попытался использовать следующий оператор, но, как указано в AWS IAM Principal Element, Группа не может быть Принципалом.

Я хочу, чтобы достичь чего-то, как показано ниже:

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
    { 
     "Sid": "", 
     "Effect": "Allow", 
     "Principal": { 
     "AWS": "arn:aws:iam::***:group/developer" 
     }, 
     "Action": "sts:AssumeRole" 
    } 
    ] 
} 

Идея заключается в том, что все члены группы group/developer должны быть в состоянии взять на себя роль. Цель состоит в том, что я должен быть спасен от необходимости указывать каждого члена группы отдельно.

Есть ли способ достичь этого?

Answer 1

Это может быть сделано по-другому. Но, не уверен, что это то, что вы хотите.

1) Создайте политику, используя create-policy.
2) Прикрепите политику к роли arn:aws:iam::***:role/developer, используя attach-role-policy.
3) Создайте предназначенный Group, используя create-group.
4) Прикрепите указанную управляемую политику к указанной группе, используя attach-group-policy.

То же самое можно достичь с помощью консоли AWS или AWS SDK вместо использования CLI. См. Attaching a Policy to an IAM Group

Таким образом, вам не нужно добавлять роли отдельно для каждого члена группы.

Answer 2

Присоединить политику Группы, который предоставляет разрешение на вызов sts:AssumeRole от желаемой роли:

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
     { 
      "Sid": "123", 
      "Effect": "Allow", 
      "Action": [ 
       "sts:AssumeRole" 
      ], 
      "Resource": [ 
       "arn:aws:iam::123456789012:role/desired-role" 
      ] 
     } 
    ] 
} 

Кроме того, приложите Политика доверия о роли. Пример политики (ниже) доверяет любому пользователю в учетной записи, но для принятия роли также необходимы sts:AssumeRole разрешения (выше).

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
    { 
     "Effect": "Allow", 
     "Principal": { 
     "AWS": "arn:aws:iam::123456789012:root" 
     }, 
     "Action": "sts:AssumeRole" 
    } 
    ] 
}