31、应用最小权限原则创建AWS IAM策略实践

应用最小权限原则创建AWS IAM策略实践

1. 最小权限原则与应用背景

最小权限原则（PoLP）旨在确保组织内的每个主体（AWS用户或角色）仅获得执行其工作所需的最少访问权限，不多不少。在AWS上，访问控制是通过身份和访问管理（IAM）策略来实现的。每个IAM策略都应服务于特定目的，并且独立于其所附加的主体存在。

以一个有多个部门的典型组织为例，为了让财务部门的员工能够访问组织账户内特定的Amazon S3存储桶中的对象，作为安全管理员，在定义访问策略时需要遵循最小权限原则。为此，需要强制执行以下条件：
- 附加此策略的主体的AWS标签“部门”应设置为“财务”，确保访问对象的主体属于财务部门。
- 主体账户必须启用多因素身份验证（MFA），防止冒名顶替者欺骗认证系统并窃取财务信息。
- 必须通过“安全传输”（HTTPS连接）访问对象。

2. 创建AWS IAM策略的步骤

2.1 创建AWS IAM策略

使用AWS可视化编辑器创建访问策略，可通过进入身份和访问管理页面，点击“创建策略”来启动可视化编辑器。进入可视化编辑器后，即可开始定义IAM策略。制定好策略后，可以将其附加到账户中的主体，从而授予该主体对AWS资源的限定访问权限。

2.2 定义IAM策略的服务、操作和效果参数

在向导中逐个定义策略语句，选择要指定访问权限的服务（如AWS S3），然后选择要指定访问权限的操作。也可以从AWS托管策略中导入现有的策略语句。
- 若已有适合应用场景的AWS托管策略，可自动导入其策略语句，在此基础上进行定制。

2.3 定义资源