AWS CloudFormation 模板：使用条件来确定范围

Question

我正在尝试使用条件来确定 CloudFormation 模板中的资源范围，但没有运气。我尝试使用“拒绝：NotPrincipal”，如下所示，但由于错误“策略文档不应指定主体”而不允许该操作。任何有关如何将 ec2:CopyImage 范围限定为特定角色的建议将不胜感激。谢谢

        {
          "Sid": "DenyCopyAMI",
          "Effect": "Deny",
          "NotPrincipal": {
            "AWS": [
              "arn:aws:sts::*:assumed-role/EngineeringRole/*",
              "arn:aws:sts::*:assumed-role/PlatformRole/*",
              "arn:aws:iam::*:role/EngineeringRole/*",
              "arn:aws:iam::*:role/PlatformRole/*"
            ]
          },

Answer 1

这是来自 restricting access to a role 的 AWS 文章。

使用iam get-role 查找RoleId 并将其添加到aws:userId 下的策略条件中

aws iam get-role --role-name Test-Role

IAM 政策：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "ec2:CopyImage",
            "Resource": "*",
            "Condition": {
                "StringNotLike": {
                    "aws:userId": [
                        "AROAJPXXXXXJE5XOMQARS:*",
                        "AROAJPXXXXXJE5XOMQARS:*",
                        "AROAJXXXXXXV3EZVH2W5A:*",
                        "AROAJXXXXXXBH4XK552KI:*"
                    ]
                }
            }
        }
    ]
}