AWS IAM 角色的条件

Question

我创建了一个具有以下条件的 IAM 角色。如果满足我的三个条件中的任何一个，我想授予访问权限。因为不可能遇到他们三个。这是正确的做法吗？

{
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Effect": "Allow",
                    "Principal": {
                        "AWS": "*"
                    },
                    "Action": "*",
                    "Condition": {
                        "StringEquals": {
                            "a": "b",
                            "c": "d",
                            "x": "y"
                        }
                    }
                }
            ]
          }

对此的任何提示将不胜感激！

Answer 1

This documentation 概述了工作原理：

如果您的策略有多个条件运算符或多个键 附加到单个条件运算符，条件被评估 使用逻辑 AND。如果单个条件运算符包含多个 一个键的值，该条件运算符使用 逻辑或。所有条件都必须解析为 true 才能触发所需的 允许或拒绝效果。

在您的示例中，您有一个条件运算符--StringEquals。该条件运算符有多个键——a、c 和 x。因此，您当前的示例将使用逻辑 AND 进行评估，这听起来不像您想要的，因为它需要满足所有三个条件，而您说这永远不会发生。

要按照您的描述允许访问，我相信您需要做出 3 个单独的声明。每个语句将有一个条件运算符StringEquals，并且该运算符将有一个键。然后，如果用户满足这 3 条语句中的任何条件，则用户将获得您想要的访问权限：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": "*",
            "Condition": {
                "StringEquals": {
                    "a": "b"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": "*",
            "Condition": {
                "StringEquals": {
                    "c": "d"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "AWS": "*"
            },
            "Action": "*",
            "Condition": {
                "StringEquals": {
                    "x": "y"
                }
            }
        }       
    ]
}