25、AWS 权限管理与账户结构优化

AWS 权限管理与账户结构优化

1. 紧急管理员角色与权限边界

在企业的 AWS 环境中，“Emergency admin role”（紧急管理员角色）拥有访问资源 A 的权限，但在正常情况下，公司内任何人都无法承担该角色。工程总监可以控制谁能承担这个“紧急管理员角色”，不过他们自己不能承担该角色。开发人员只有在工程总监允许的情况下，才能承担该角色并访问资源。

权限边界是管理员为其他身份分配权限的一种方式，它通过指定可获得的最大权限来实现。与 IAM 策略不同，权限边界本身并不授予新的权限，而是规定接收者可拥有的最大权限。应用权限边界后，IAM 身份的有效权限始终是其 IAM 策略权限的子集。

例如，有一个团队仅需使用 AWS 简单存储服务（S3）或 AWS Lambda，可设置如下权限边界 IAM 策略条件：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:*",
                "lambda:*"
            ],
            "Resource": "*"
        }
    ]
}

若为用户“Gaurav”分配此边界策略，并附加一个允许创建用户的 IAM 策略：

{
    "Version": "2012-10-