如何拒绝 AWS 中管理员用户的操作

Question

我想拒绝 AWS 中管理员用户的“sqs:CreateQueue”权限。那可能吗 ？。 用户拥有以下管理员权限

{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "", "Resource": "" } ] }

Answer 1

限制用户执行特定操作的推荐方法是使用 permission boundary。

为用户添加权限边界，内容如下：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "iam:DeleteUserPermissionsBoundary",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "*",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": "sqs:CreateQueue",
            "Resource": "*"
        }
    ]
}

这将阻止用户创建 SQS 队列和删除您应用的权限边界，同时授予他执行所有其他操作的权限。