25、AWS组织安全设计与权限管理

AWS组织安全设计与权限管理

在AWS环境中，合理的权限管理和账户结构设计对于保障组织的安全和高效运营至关重要。下面将详细介绍相关的概念和方法。

1. 紧急管理角色与权限边界

首先来看一些特殊角色的权限情况。“紧急管理角色”可以访问资源A，但在正常情况下，公司内任何人都不能承担此角色。工程总监可以控制谁能承担“紧急管理角色”，但他们自己不能承担该角色。开发人员只有在工程总监允许的情况下，才能承担该角色并访问资源。

权限边界是管理员为其他身份分配权限的一种方式，它指定了接收者可以获得的最大权限。与IAM策略不同，权限边界本身不会授予接收者任何新权限，而是限制其最大权限。应用权限边界后，IAM身份的有效权限始终是其IAM策略权限的子集。

例如，有一个团队只需使用AWS简单存储服务（S3）或AWS Lambda，可设置如下权限边界IAM策略条件：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:*",
                "lambda:*"
            ],
            "Resource": "*"
        }
    ]
}

若创建一个用户“Gaurav”并分配此边界策略，同时附加一个允许创建用户的IAM策略：