对 IAM 角色、政策、声明和行动感到困惑

Question

Cloudformation documentation 描述了 IAM 角色规范各部分之间的以下关系：

Service (Lambda in my case)
  has one or more 
Role/s
  which contain one or more
Policy/ies
  which contain a
Policy Document
  which contains one or more
Statement/s
  which contains one or more
{Effect,[Action],Resource} objects
  which specify one or more
Action/s

假设我想授予 [Role] 执行 [Action] 的权限。如何确定应在上述层次结构中的哪个位置指定权限？

在我的具体情况下，我想将 s3:GetObject 添加到 Lambda 的角色中。

我应该

• 创建一个新角色？
• 在现有角色中创建新策略？
• 向现有政策添加新声明？
• 向现有语句添加新操作（使用Resource:'*'）？

正在寻找有关上述各项何时适用的指导...

Answer 1

我猜您可以执行以下任何操作，唯一的要求是您的该角色的政策文件必须包含声明

s3:GetObject