AWS SSO + 身份策略创建

Question

我们在组织根帐户中启用并配置了 SSO (Azure AD) 身份验证。我正在使用其中一个子账户中的 Terraform 模块，该模块需要将其创建的 EC2 实例的权限（在本例中为 ssm:StartSession）授予一组 SSO 用户。但是，我无法将新策略附加到用户的 SSO 角色，因为这些角色是由 AWS SSO 创建的，无法直接修改。

如何将身份策略添加到特定用户/组？如果需要，我确实可以访问 root 组织帐户，但我想要一种完全自动化的方式（当然是使用 Terraform）

Answer 1

但是，我无法将新策略附加到用户的 SSO 角色，因为这些角色是由 AWS SSO 创建的，无法直接修改。

Terraform aws 提供者拥有将托管策略或内联策略（在您的用例中需要）附加到权限集的资源：

• Resource: aws_ssoadmin_managed_policy_attachment
• Resource: aws_ssoadmin_permission_set_inline_policy

必须在 SSO 管理帐户下创建权限集和内联策略。 Create a new permission set 和内联策略并使用 aws_ssoadmin_account_assignment 为组分配新权限

如果您想在多个帐户上部署资源，您可以为 Terraform 创建多帐户设置。 here 描述了实现此目的的一种方法。