如果我对 AWS 中的 IAM 服务具有读写访问权限，我可以升级权限吗？

Question

Closed. This question does not meet Stack Overflow guidelines. It is not currently accepting answers.

---

这个问题似乎不是关于特定的编程问题、软件算法或主要由程序员使用的软件工具。如果您认为该问题与另一个 Stack Exchange 站点上的主题相符，您可以发表评论来解释该问题可能在哪里得到答复。

2 年前已关闭。

Answer 1

1. 是的，用户可以授予对任何和所有 S3 存储桶的访问权限。

2. 是的，用户可以创建新的 IAM 用户来访问任何和所有存储桶（以及 AWS 账户中的任何其他内容）。

3. 对于可以授予哪些 IAM 访问权限，您可能非常具体（例如，只能将用户放入特定的 IAM 组），但这可能会消除您希望在第一名。

该帐户要么需要是“任何人都可以做任何事情”（结果是其他人可能会修改/销毁您创建的资源），或者您需要为每个开发人员提供自己的 AWS 帐户以将其视为一个没有其他人可以影响它的“沙箱”。

一个中间选项可能是允许用户部署 AWS CloudFormation 堆栈，该堆栈可以创建基础设施，但（通常）不允许现有基础设施受到影响。

Answer 2

1. 是
2. 是
3. 是，您可以通过添加桶策略来实现。

开桶>权限>存储桶策略

然后添加策略 类似于以下内容：

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Deny",
        "Principal": {
            "AWS": "arn:aws:iam::ACCOUNT_ID:user/USERNAME"
        },
        "Action": "s3:*",
        "Resource": [
            "arn:aws:s3:::YOUR_BUCKET_NAME/*",
            "arn:aws:s3:::YOUR_BUCKET_NAME"
        ]

    }]
}

此策略拒绝用户访问存储桶，即使用户具有管理员权限也是如此。