killvxk 实施 AWS IAM 权限边界
概述
IAM 权限边界（Permission Boundaries）是 AWS 的高级功能，用于设置基于身份的策略可以向 IAM 实体（用户或角色）授予的最大权限。它们使集中式安全团队能够安全地将 IAM 角色和策略创建委托给应用开发者，而不会有权限提升的风险。实体的有效权限是其基于身份的策略与权限边界的交集——即使身份策略授予了 AdministratorAccess，权限边界也会将其限制为仅允许的操作。
前置条件
- 具有 IAM 管理员访问权限的 AWS 账户
- 了解 AWS IAM 策略语言（JSON）
- 配置了适当凭据的 AWS CLI v2
- 用于基础设施即代码部署的 Terraform 或 CloudFormation
核心概念
权限边界的工作原理
基于身份的策略 权限边界
（角色能做什么） ∩ （角色可以做什么）
│ │
└──────────┬───────────────────┘
│
有效权限
（仅两个策略都允许的操作）
策略评估逻辑
AWS 按以下顺序评估权限：
- 显式拒绝 — 在任何策略中始终优先
- Organizations SCP — 设置组织范围的最大权限
- 权限边界 — 设置实体级别的最大权限
- 基于身份的策略 — 授予实际权限
- 基于资源的策略 — 跨账户访问（单独评估）
实体只有在所有适用的策略类型都允许时才能执行操作。
主要使用场景
| 使用场景 | 描述 |
|---|---|
| 开发者委托 | 允许开发者创建 IAM 角色，但不能超出其边界范围 |
| 沙箱隔离 | 限制沙箱/开发账户中角色的操作范围 |
| 多租户工作负载 | 确保特定于租户的角色无法访问其他租户的资源 |
| CI/CD 流水线角色 | 将自动化角色限制在特定服务 |
实施步骤
步骤 1：定义权限边界策略
创建一个定义最大允许权限的托管策略：
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowedServices",
"Effect": "Allow",
"Action": [
"s3:*",
"dynamodb:*",
"lambda:*",
"logs:*",
"cloudwatch:*",
"sqs:*",
"sns:*",
"events:*",
"states:*",
"xray:*",
"ec2:Describe*",
"ec2:CreateTags",
"sts:AssumeRole",
"kms:Decrypt",
"kms:GenerateDataKey",
"kms:DescribeKey",
"secretsmanager:GetSecretValue"
],
"Resource": "*"
},
{
"Sid": "AllowIAMPassRole",
"Effect": "Allow",
"Action": "iam:PassRole",
"Resource": "arn:aws:iam::*:role/app-*",
"Condition": {
"StringEquals": {
"iam:PassedToService": [
"lambda.amazonaws.com",
"states.amazonaws.com"
]
}
}
},
{
"Sid": "DenyBoundaryDeletion",
"Effect": "Deny",
"Action": [
"iam:DeletePolicy",
"iam:DeletePolicyVersion",
"iam:CreatePolicyVersion"
],
"Resource": "arn:aws:iam::*:policy/DeveloperBoundary"
},
{
"Sid": "DenyBoundaryRemoval",
"Effect": "Deny",
"Action": [
"iam:DeleteUserPermissionsBoundary",
"iam:DeleteRolePermissionsBoundary"
],
"Resource": "*"
}
]
}
步骤 2：创建开发者委托策略
授予开发者创建 IAM 角色的能力，但必须附加边界：
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "AllowCreateRoleWithBoundary",
"Effect": "Allow",
"Action": [
"iam:CreateRole",
"iam:AttachRolePolicy",
"iam:DetachRolePolicy",
"iam:PutRolePolicy",
"iam:DeleteRolePolicy"
],
"Resource": "arn:aws:iam::*:role/app-*",
"Condition": {
"StringEquals": {
"iam:PermissionsBoundary": "arn:aws:iam::*:policy/DeveloperBoundary"
}
}
},
{
"Sid": "AllowCreatePolicyScoped",
"Effect": "Allow",
"Action": [
"iam:CreatePolicy",
"iam:DeletePolicy",
"iam:CreatePolicyVersion",
"iam:DeletePolicyVersion"
],
"Resource": "arn:aws:iam::*:policy/app-*"
},
{
"Sid": "AllowViewIAM",
"Effect": "Allow",
"Action": [
"iam:Get*",
"iam:List*"
],
"Resource": "*"
}
]
}
步骤 3：附加边界
# 创建边界策略
aws iam create-policy \
--policy-name DeveloperBoundary \
--policy-document file://developer-boundary.json
# 将边界附加到现有角色
aws iam put-role-permissions-boundary \
--role-name developer-role \
--permissions-boundary arn:aws:iam::123456789012:policy/DeveloperBoundary
# 创建带边界的新角色
aws iam create-role \
--role-name app-lambda-executor \
--assume-role-policy-document file://trust-policy.json \
--permissions-boundary arn:aws:iam::123456789012:policy/DeveloperBoundary
步骤 4：防止权限提升
边界必须包含拒绝语句，防止开发者：
- 从自己的角色中移除边界
- 修改边界策略本身
- 创建未附加边界的角色
- 访问 IAM 服务进行权限提升
步骤 5：使用 Terraform 部署
resource "aws_iam_policy" "developer_boundary" {
name = "DeveloperBoundary"
path = "/"
policy = file("${path.module}/policies/developer-boundary.json")
}
resource "aws_iam_role" "app_role" {
name = "app-lambda-executor"
assume_role_policy = data.aws_iam_policy_document.lambda_trust.json
permissions_boundary = aws_iam_policy.developer_boundary.arn
}
验证清单
- 权限边界策略已创建并经安全团队审查
- 边界包含防止自我修改的拒绝语句
- 开发者委托策略要求所有新角色附加边界
- 强制执行角色命名约定（如
app-*前缀） - 开发者测试了有/无边界时的角色创建（无边界时应失败）
- 已测试并阻止权限提升路径
- 已为 IAM API 调用启用 CloudTrail 日志
- 边界策略已在源代码控制中进行版本管理
- 自动化测试验证边界有效性
- 已向开发团队提供文档