Come posso consentire a un Gruppo di assumere un ruolo?

Question

Come posso consentire a tutti i membri di un gruppo di assumere un ruolo in AWS IAM?

Ho provato a utilizzare la seguente istruzione ma come specificato in AWS IAM Principal Element, un gruppo non può essere un preside.

voglio ottenere qualcosa di simile di seguito:

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
    { 
     "Sid": "", 
     "Effect": "Allow", 
     "Principal": { 
     "AWS": "arn:aws:iam::***:group/developer" 
     }, 
     "Action": "sts:AssumeRole" 
    } 
    ] 
} 

L'idea è che tutti i membri del gruppo group/developer dovrebbero essere in grado di assumere il ruolo. L'obiettivo è che dovrei essere salvato dal dover specificare ogni membro in un gruppo individualmente.

C'è un modo per raggiungere questo obiettivo?

Answer 1

Questo può essere fatto in un modo diverso. Ma non sono sicuro se questo è quello che vuoi.

1) Creare un criterio utilizzando create-policy.
2) Collegare il criterio al ruolo arn:aws:iam::***:role/developer utilizzando attach-role-policy.
3) Creare l'Group desiderato utilizzando create-group.
4) Collegare il criterio gestito specificato al Gruppo specificato utilizzando attach-group-policy.

Lo stesso può essere ottenuto tramite console AWS o AWS SDK invece di utilizzare CLI. Vedere Attaching a Policy to an IAM Group

In questo modo, non è necessario aggiungere i ruoli singolarmente a ciascun membro del gruppo.

Answer 2

Collegare un criterio al gruppo che concede il permesso di chiamare sts:AssumeRole sul ruolo desiderato:

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
     { 
      "Sid": "123", 
      "Effect": "Allow", 
      "Action": [ 
       "sts:AssumeRole" 
      ], 
      "Resource": [ 
       "arn:aws:iam::123456789012:role/desired-role" 
      ] 
     } 
    ] 
} 

Inoltre, allegare un Criteri di attendibilità sul ruolo. La politica di esempio (di seguito) si fida di qualsiasi utente nell'account, ma sarebbe necessario anche le autorizzazioni sts:AssumeRole (sopra) per assumere il ruolo.

{ 
    "Version": "2012-10-17", 
    "Statement": [ 
    { 
     "Effect": "Allow", 
     "Principal": { 
     "AWS": "arn:aws:iam::123456789012:root" 
     }, 
     "Action": "sts:AssumeRole" 
    } 
    ] 
}