跨多个 json 策略的 IAM 策略中的评估逻辑

Question

对于 IAM 政策，假设有两个政策：

1. 包含允许访问的单个语句的策略。
2. 第二个策略，使用单个语句拒绝访问。

例如：

// first document
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowS3ListRead",
            "Effect": "Allow",
            "Action": ["s3:ListAllMyBuckets"],
            "Resource": "*",
            "Principal": { "AWS": "arn:aws:iam::12345:group/davidsgroup" }
        }
    ]
}

// second document
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyS3ListRead",
            "Effect": "Deny",
            "Action": ["s3:ListAllMyBuckets"],
            "Resource": "*",
            "Principal": { "AWS": "arn:aws:iam::12345:user/david" }
        }
    ]
}

如果资源有冲突的陈述，如何确定最终是否会拒绝用户？例如，是按文件顺序吗？原则的粒度？或者当有多个政策文件可能适用于给定用户时，通常如何确定这一点。

Answer 1

在最基本的层面上：显式拒绝 > 显式允许 > 隐式拒绝。

在您的示例中，即使明确允许 David 的 IAM 组调用 s3:ListAllMyBuckets，David 的 IAM 用户也被明确拒绝执行相同的操作。在这种情况下，显式拒绝胜过显式允许，大卫被拒绝。

如需深入了解，请参阅Policy evaluation logic。