AWS Trust 代入组角色

Question

我在一个 AWS 账户中有很多用户 - 我们称之为基本账户：

IAM:
  groups:
    admins:
      user1
      user2
      user3
      ....
      user56

我创建了第二个 AWS 账户 - 我们称它为 Dev 账户，拥有一个具有 AdministratorAccess 的角色。

IAM:
  Roles:
    AdminRole

我尝试使用此信任策略在 Base/admins 和 Dev/AdminRole 之间添加信任关系：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": { "AWS": "arn:aws:iam::************:group/admins" },
      "Action": "sts:AssumeRole"
    }
  ]
}

但出现以下错误：

An error occurred: Invalid principal in policy....

如何允许 Base/admins 中的用户担任 Dev/AdminRole？

Answer 1

您需要从 Dev/AdminRole 授予对整个帐户的访问权限，然后限制基本帐户中角色的访问权限。