# 适用于 Amazon Identity and Access Management and Access Analyzer 的 Amazon 托管式策略
<a name="security-iam-awsmanpol"></a>





Amazon 托管式策略是由 Amazon 创建和管理的独立策略。Amazon 托管式策略旨在为许多常见使用案例提供权限，以便您可以开始为用户、组和角色分配权限。

请记住，Amazon 托管式策略可能不会为您的特定使用案例授予最低权限，因为它们可供所有 Amazon 客户使用。我们建议通过定义特定于使用案例的[客户管理型策略](https://docs.amazonaws.cn/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#customer-managed-policies)来进一步减少权限。

您无法更改 Amazon 托管式策略中定义的权限。如果 Amazon 更新在 Amazon 托管式策略中定义的权限，则更新会影响该策略所附加到的所有主体身份（用户、组和角色）。当新的 Amazon Web Services 服务 启动或新的 API 操作可用于现有服务时，Amazon 最有可能更新 Amazon 托管式策略。

有关更多信息，请参阅《IAM 用户指南》**中的 [Amazon 托管式策略](https://docs.amazonaws.cn/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies)。









## IAMReadOnlyAccess
<a name="security-iam-awsmanpol-IAMReadOnlyAccess"></a>

使用 `IAMReadOnlyAccess` 托管式策略来允许对 IAM 资源的只读权限。此策略授予权限，使其能够获取和列出所有 IAM 资源。它允许查看用户、组、角色、策略、身份提供程序和 MFA 设备的详细信息和活动报告。它不包括创建或删除资源或访问 IAM Access Analyzer 资源的能力。有关此策略支持的服务和操作的完整列表，请查看此 [policy](https://console.amazonaws.cn/iam/home#policies/arn:aws:iam::aws:policy/IAMReadOnlyAccess)（策略）。

## IAMUserChangePassword
<a name="security-iam-awsmanpol-IAMUserChangePassword"></a>

使用 `IAMUserChangePassword` 托管式策略可允许 IAM 用户更改他们的密码。

通过配置 IAM **Account 设置**和 **Password 策略**，IAM 用户可以修改自己的 IAM 账户密码。当您允许此操作时，IAM 会向每个用户附加该策略。

要查看 JSON 策略，请参阅《Amazon 托管式策略参考指南》中的 [IAMUserChangePassword](https://docs.amazonaws.cn/aws-managed-policy/latest/reference/IAMUserChangePassword.html)。

## IAMAccessAnalyzerFullAccess
<a name="security-iam-awsmanpol-IAMAccessAnalyzerFullAccess"></a>

使用 `IAMAccessAnalyzerFullAccess` Amazon 托管策略，以允许您的管理员访问 IAM Access Analyzer。

### 权限分组
<a name="IAMAccessAnalyzerFullAccess"></a>

此策略根据提供的权限集分为多个语句。
+ **IAM Access Analyzer** — 允许对 IAM Access Analyzer 中所有资源的完全管理权限。
+ **创建服务链接角色** — 允许管理员创建[服务关联角色](https://docs.amazonaws.cn/IAM/latest/UserGuide/access-analyzer-using-service-linked-roles.html)，它允许 IAM Access Analyzer 代表您分析其他服务中的资源。此权限允许创建仅供 IAM Access Analyzer 使用的服务关联角色。
+ **Amazon Organizations** — 允许管理员将 IAM Access Analyzer 用于 Amazon Organizations 中的企业。在 Amazon Organizations 为 IAM Access Analyzer [启用可信访问权限](https://docs.amazonaws.cn/organizations/latest/userguide/orgs_integrate_services.html)后，管理账户的成员可以查看整个企业的结果。

------
#### [ JSON ]

****  

```
{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "access-analyzer:*"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "iam:CreateServiceLinkedRole",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "iam:AWSServiceName": "access-analyzer.amazonaws.com"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "organizations:DescribeAccount",
        "organizations:DescribeOrganization",
        "organizations:DescribeOrganizationalUnit",
        "organizations:ListAccounts",
        "organizations:ListAccountsForParent",
        "organizations:ListAWSServiceAccessForOrganization",
        "organizations:ListChildren",
        "organizations:ListDelegatedAdministrators",
        "organizations:ListOrganizationalUnitsForParent",
        "organizations:ListParents",
        "organizations:ListRoots"
      ],
      "Resource": "*"
    }
  ]
}
```

------

## IAMAccessAnalyzerReadOnlyAccess
<a name="security-iam-awsmanpol-IAMAccessAnalyzerReadOnlyAccess"></a>

要允许对 IAM Access Analyzer 进行只读访问，请使用 `IAMAccessAnalyzerReadOnlyAccess` Amazon 托管策略。

要同时允许对用于 Amazon Organizations 的 IAM Access Analyzer 进行只读访问中，请创建一个客户托管策略，以允许来自 [IAMAccessAnalyzerFullAccess](#security-iam-awsmanpol-IAMAccessAnalyzerFullAccess) Amazon 托管策略的“Describe”（描述）和“List”（列示）操作。

### 服务级别权限
<a name="IAMAccessAnalyzerReadOnlyAccess-service-level-permissions"></a>

此策略提供对 IAM Access Analyzer 的只读访问权限。此策略中不包含其他服务权限。

------
#### [ JSON ]

****  

```
{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "IAMAccessAnalyzerReadOnlyAccess",
      "Effect": "Allow",
      "Action": [
        "access-analyzer:CheckAccessNotGranted",
        "access-analyzer:CheckNoNewAccess",
        "access-analyzer:Get*",
        "access-analyzer:List*",
        "access-analyzer:ValidatePolicy"
      ],
      "Resource": "*"
    }
  ]
}
```

------

## AccessAnalyzerServiceRolePolicy
<a name="security-iam-aa-service-role-policy"></a>

您无法将 AccessAnalyzerServiceRolePolicy 附加到您的 IAM 实体。此附加到服务相关角色的策略允许 IAM Access Analyzer 代表您执行操作。有关更多信息，请参阅[将服务相关角色用于 Amazon Identity and Access Management and Access Analyzer](https://docs.amazonaws.cn/IAM/latest/UserGuide/access-analyzer-using-service-linked-roles.html)。

### 权限分组
<a name="service-level-permissions"></a>

该策略允许访问 IAM Access Analyzer，以分析来自多个 Amazon Web Services 服务 的资源元数据。
+ **Amazon DynamoDB** – 允许查看 DynamoDB 流和表的权限。
+ **Amazon Elastic Compute Cloud** – 允许描述 IP 地址、快照和 VPC 的权限。
+ **Amazon Elastic Container Registry** – 允许描述图像存储库、检索账户设置并检索注册表和存储库策略。
+ **Amazon Elastic File System** – 允许查看 Amazon EFS 文件系统的描述和查看 Amazon EFS 文件系统的资源级策略的权限。
+ **Amazon Identity and Access Management** – 允许检索有关指定角色的信息并列出具有指定路径前缀的 IAM 角色的权限。允许检索用户、IAM 组、登录配置文件、访问密钥和上次访问服务数据相关信息的权限。
+ **Amazon Key Management Service** – 允许查看有关 KMS 密钥及其密钥策略和授权的详细信息的权限。
+ **Amazon Lambda** – 允许查看有关 Lambda 别名、函数、层和别名信息的权限。
+ **Amazon Organizations**：允许对 Amazon Organizations 的权限，并允许在作为信任区域的 Amazon 组织中创建分析程序。
+ **Amazon Relational Database Service** – 允许查看有关 Amazon RDS 数据库快照和 Amazon RDS 数据库集群快照的详细信息的权限。
+ **Amazon Simple Storage Service**：允许查看有关 Amazon S3 接入点、存储桶、Amazon S3 存储桶接入点和目录存储桶的详细信息的权限。
+ **Amazon Secrets Manager** – 允许查看有关密钥和附加到密钥的资源策略详细信息的权限。
+ **Amazon Simple Notification Service** – 允许查看有关某个主题的详细信息的权限。
+ **Amazon Simple Queue Service** – 允许查看有关指定队列的详细信息的权限。

要查看 JSON 策略，请参阅《Amazon 托管式策略参考指南》中的 [AccessAnalyzerServiceRolePolicy](https://docs.amazonaws.cn/aws-managed-policy/latest/reference/AccessAnalyzerServiceRolePolicy.html)。

## IAMAuditRootUserCredentials
<a name="security-iam-awsmanpol-IAMAuditRootUserCredentials"></a>

在[对 Amazon Organizations 成员账户执行特权任务](https://docs.amazonaws.cn/IAM/latest/UserGuide/id_root-user-privileged-task.html)以审计成员账户的根用户凭证状态时，使用 `IAMAuditRootUserCredentials` Amazon 托管策略缩小权限范围。您可以列出或获取个人根用户凭证信息，例如：
+ 是否有根用户密码
+ 根用户是否有访问密钥以及上次使用该密钥的时间
+ 如果根用户关联了签名证书
+ 根用户关联的 MFA 设备
+ 统一的根用户凭证状态列表

您不能将 `IAMAuditRootUserCredentials` 附加到自己的 IAM 实体。此策略附加到 [AssumeRoot](https://docs.amazonaws.cn/STS/latest/APIReference/API_AssumeRoot.html)，用于对组织中的成员账户执行特权任务。有关更多信息，请参阅 [集中管理成员账户的根访问权限](id_root-user.md#id_root-user-access-management)。

------
#### [ JSON ]

****  

```
{
   "Version":"2012-10-17",		 	 	 
   "Statement": [
      {
         "Sid": "DenyAllOtherActionsOnAnyResource",
         "NotAction": [
            "iam:ListAccessKeys",
            "iam:ListSigningCertificates",
            "iam:GetLoginProfile",
            "iam:ListMFADevices",
            "iam:GetAccountSummary",
            "iam:GetUser",
            "iam:GetAccessKeyLastUsed"  
         ],
         "Effect": "Deny",
         "Resource": "*"
      },
      {
         "Sid": "DenyAuditingCredentialsOnNonRootUserResource",
         "Action": [
            "iam:ListAccessKeys",
            "iam:ListSigningCertificates",
            "iam:GetLoginProfile",
            "iam:ListMFADevices" ,
            "iam:GetUser",
            "iam:GetAccessKeyLastUsed"     
         ],
         "Effect": "Deny",
         "NotResource": "arn:aws:iam::*:root"
      } 
   ]
}
```

------

### 权限分组
<a name="IAMAuditRootUserCredentials"></a>

此策略根据提供的权限集分为多个语句。
+ **DenyAllOtherActionsOnAnyResource** – 拒绝访问所有资源的凭证。
+ **DenyAuditingCredentialsOnNonRootUserResource** – 拒绝访问所有非根用户资源的凭证。

## IAMCreateRootUserPassword
<a name="security-iam-awsmanpol-IAMCreateRootUserPassword"></a>

在[对 Amazon Organizations 成员账户执行特权任务](https://docs.amazonaws.cn/IAM/latest/UserGuide/id_root-user-privileged-task.html)以允许恢复没有根用户凭证的成员账户的密码时，使用 `IAMCreateRootUserPassword` Amazon 托管策略缩小权限范围。

您不能将 `IAMCreateRootUserPassword` 附加到自己的 IAM 实体。此策略附加到 [AssumeRoot](https://docs.amazonaws.cn/STS/latest/APIReference/API_AssumeRoot.html)，用于对组织中的成员账户执行特权任务。有关更多信息，请参阅 [集中管理成员账户的根访问权限](id_root-user.md#id_root-user-access-management)。

------
#### [ JSON ]

****  

```
{
   "Version":"2012-10-17",		 	 	 
   "Statement": [
      {
         "Sid": "DenyAllOtherActionsOnAnyResource",
         "NotAction": [
            "iam:CreateLoginProfile",
            "iam:GetLoginProfile"
         ],
         "Effect": "Deny",
         "Resource": "*"
      },
      {
         "Sid": "DenyCreatingPasswordOnNonRootUserResource",
         "Action": [
            "iam:CreateLoginProfile",
            "iam:GetLoginProfile"   
         ],
         "Effect": "Deny",
         "NotResource": "arn:aws:iam::*:root"
      }
   ]
}
```

------

### 权限分组
<a name="IAMCreateRootUserPassword"></a>

此策略根据提供的权限集分为多个语句。
+ **DenyAllOtherActionsOnAnyResource** – 拒绝访问以获取或创建所有资源的密码。
+ **DenyCreatingPasswordOnNonRootUserResource** – 拒绝访问以获取或创建所有非根用户资源的密码。

## IAMDeleteRootUserCredentials
<a name="security-iam-awsmanpol-IAMDeleteRootUserCredentials"></a>

当您[对 Amazon Organizations 成员账户执行特权任务](https://docs.amazonaws.cn/IAM/latest/UserGuide/id_root-user-privileged-task.html)以移除根用户凭证（包括密码、访问密钥、签名证书和停用 MFA）时，使用 `IAMDeleteRootUserCredentials` Amazon 托管策略缩小权限范围。此特权操作需要其他权限，以便您可以查看上次使用的凭证信息、验证成员账户根用户上次使用的信息，以及列出要删除的所有根用户凭证的权限。

您不能将 `IAMDeleteRootUserCredentials` 附加到自己的 IAM 实体。此策略附加到 [AssumeRoot](https://docs.amazonaws.cn/STS/latest/APIReference/API_AssumeRoot.html)，用于对组织中的成员账户执行特权任务。有关更多信息，请参阅 [集中管理成员账户的根访问权限](id_root-user.md#id_root-user-access-management)。

------
#### [ JSON ]

****  

```
{
	"Version":"2012-10-17",		 	 	 
	"Statement": [
		{
			"Sid": "DenyAllOtherActionsOnAnyResource",
			"Effect": "Deny",
			"NotAction": [
				"iam:DeleteAccessKey",
				"iam:DeleteSigningCertificate",
				"iam:DeleteLoginProfile",
				"iam:DeactivateMFADevice",
				"iam:ListAccessKeys",
				"iam:ListSigningCertificates",
				"iam:GetLoginProfile",
				"iam:ListMFADevices",
				"iam:GetUser",
				"iam:GetAccessKeyLastUsed"
			],
						  
			"Resource": "*"
		},
		{
			"Sid": "DenyDeletingRootUserCredentialsOnNonRootUserResource",
			"Effect": "Deny",
			"Action": [
				"iam:DeleteAccessKey",
				"iam:DeleteSigningCertificate",
				"iam:DeleteLoginProfile",
				"iam:DeactivateMFADevice",
				"iam:ListAccessKeys",
				"iam:ListSigningCertificates",
				"iam:GetLoginProfile",
				"iam:ListMFADevices",
				"iam:GetUser",
				"iam:GetAccessKeyLastUsed"
			],
						  
			"NotResource": "arn:aws:iam::*:root"
		}
	]
}
```

------

### 权限分组
<a name="IAMDeleteRootUserCredentials"></a>

此策略根据提供的权限集分为多个语句。
+ **DenyAllOtherActionsOnAnyResource** – 拒绝访问以获取或删除所有资源的凭证。
+ **DenyDeletingRootUserCredentialsOnNonRootUserResource** – 拒绝访问以获取或删除所有非根用户资源的凭证。

## S3UnlockBucketPolicy
<a name="security-iam-awsmanpol-S3UnlockBucketPolicy"></a>

当您[对 Amazon Organizations 成员账户执行特权任务](https://docs.amazonaws.cn/IAM/latest/UserGuide/id_root-user-privileged-task.html)以移除拒绝所有主体访问 Amazon S3 存储桶的错误配置存储桶策略时，使用 `S3UnlockBucketPolicy` Amazon 托管策略缩小权限范围。

您不能将 `S3UnlockBucketPolicy` 附加到自己的 IAM 实体。此策略附加到 [AssumeRoot](https://docs.amazonaws.cn/STS/latest/APIReference/API_AssumeRoot.html)，用于对组织中的成员账户执行特权任务。有关更多信息，请参阅 [集中管理成员账户的根访问权限](id_root-user.md#id_root-user-access-management)。

------
#### [ JSON ]

****  

```
{
   "Version":"2012-10-17",		 	 	 
   "Statement": [
      {
         "Sid": "DenyAllOtherActionsOnAnyResource",
         "NotAction": [
            "s3:DeleteBucketPolicy",
            "s3:PutBucketPolicy",
            "s3:GetBucketPolicy",
            "s3:ListAllMyBuckets"
         ],
         "Effect": "Deny",
         "Resource": "*"
      },
      {
         "Sid": "DenyManagingBucketPolicyForNonRootCallers",
         "Action": [
            "s3:DeleteBucketPolicy",
            "s3:PutBucketPolicy",
            "s3:GetBucketPolicy",
            "s3:ListAllMyBuckets"
         ],
         "Effect": "Deny",
         "Resource": "*",
         "Condition" : {
            "ArnNotLike" : {
               "aws:PrincipalArn" : "arn:aws:iam::*:root"
            }
         }
      }
   ]
}
```

------

### 权限分组
<a name="IAMS3UnlockBucketPolicy"></a>

此策略根据提供的权限集分为多个语句。
+ **DenyAllOtherActionsOnAnyResource** – 拒绝访问所有资源的存储桶策略。
+ **DenyManagingBucketPolicyForNonRootCallers** – 拒绝访问所有非根用户资源的存储桶策略。

## SQSUnlockQueuePolicy
<a name="security-iam-awsmanpol-SQSUnlockQueuePolicy"></a>

当您[对 Amazon Organizations 成员账户执行特权任务](https://docs.amazonaws.cn/IAM/latest/UserGuide/id_root-user-privileged-task.html)以删除拒绝所有主体访问 Amazon SQS 队列的 Amazon Simple Queue Service 基于资源的策略时，使用 `SQSUnlockQueuePolicy` Amazon 托管策略缩小权限范围。

您不能将 `SQSUnlockQueuePolicy` 附加到自己的 IAM 实体。此策略附加到 [AssumeRoot](https://docs.amazonaws.cn/STS/latest/APIReference/API_AssumeRoot.html)，用于对组织中的成员账户执行特权任务。有关更多信息，请参阅 [集中管理成员账户的根访问权限](id_root-user.md#id_root-user-access-management)。

### 权限分组
<a name="IAMSQSUnlockQueuePolicy"></a>

此策略根据提供的权限集分为多个语句。
+ **DenyAllOtherActionsOnAnyResource** – 拒绝访问所有资源的 Amazon SQS 操作。
+ **DenyGettingQueueAttributesOnNonOwnQueue** – 拒绝访问另一个账户所拥有的队列的 Amazon SQS 队列属性。
+ **DenyActionsForNonRootUser** – 拒绝访问所有非根用户资源的 Amazon SQS 操作。





## IAM 和 IAM Access Analyzer 更新 Amazon 托管策略
<a name="security-iam-awsmanpol-updates"></a>



查看从服务开始跟踪这些更改以来，有关 IAM 和 Amazon 托管式策略更新的详细信息。有关此页面更改的自动警报，请订阅 IAM 和 IAM Access Analyzer 文档历史记录页面上的 RSS 源。




| 更改 | 描述 | 日期 | 
| --- | --- | --- | 
| [IAMUserChangePassword](https://console.amazonaws.cn/iam/home#policies/IAMUserChangePassword) – 已添加权限 | IAM 向 IAMUserChangePassword 添加了权限，以允许在路径内指定的用户。 | 2025 年 5 月 28 日 | 
| [AccessAnalyzerServiceRolePolicy](https://console.amazonaws.cn/iam/home#policies/AccessAnalyzerServiceRolePolicy) – 添加权限 | IAM Access Analyzer 添加了对 AccessAnalyzerServiceRolePolicy 的服务级别权限的 iam:GetAccountAuthorizationDetails。 | 2024 年 5 月 12 日 | 
| [AccessAnalyzerServiceRolePolicy](https://console.amazonaws.cn/iam/home#policies/AccessAnalyzerServiceRolePolicy) – 添加权限 | IAM Access Analyzer 向 AccessAnalyzerServiceRolePolicy 的服务级别权限添加了对 Amazon S3 目录存储桶接入点的支持。 | 2025 年 3 月 31 日 | 
| [IAMDeleteRootUserCredentials](https://console.amazonaws.cn/iam/home#policies/IAMDeleteRootUserCredentials) – 移除的权限 | IAM 从托管策略中移除了 iam:DeleteVirtualMFADevice 权限。 | 2025 年 1 月 7 日 | 
| [AccessAnalyzerServiceRolePolicy](https://console.amazonaws.cn/iam/home#policies/AccessAnalyzerServiceRolePolicy) – 添加权限 | IAM Access Analyzer 向 AccessAnalyzerServiceRolePolicy 的服务级别权限添加了对检索 Amazon ECR 账户设置和注册表策略信息的权限的支持。 | 2024 年 12 月 10 日 | 
| [IAMAuditRootUserCredentials](https://console.amazonaws.cn/iam/home#policies/IAMAuditRootUserCredentials) – 已添加托管策略 | IAM 为[集中管理成员账户的根访问](id_root-user.md#id_root-user-access-management)添加了托管策略，以限定您可以对 Amazon Organizations 成员账户执行的特权任务的范围。 | 2024 年 11 月 14 日 | 
| [IAMCreateRootUserPassword](https://console.amazonaws.cn/iam/home#policies/IAMCreateRootUserPassword) – 已添加托管策略 | IAM 为[集中管理成员账户的根访问](id_root-user.md#id_root-user-access-management)添加了托管策略，以限定您可以对 Amazon Organizations 成员账户执行的特权任务的范围。 | 2024 年 11 月 14 日 | 
| [IAMDeleteRootUserCredentials](https://console.amazonaws.cn/iam/home#policies/IAMDeleteRootUserCredentials) – 已添加托管策略 | IAM 为[集中管理成员账户的根访问](id_root-user.md#id_root-user-access-management)添加了托管策略，以限定您可以对 Amazon Organizations 成员账户执行的特权任务的范围。 | 2024 年 11 月 14 日 | 
| [S3UnlockBucketPolicy](https://console.amazonaws.cn/iam/home#policies/S3UnlockBucketPolicy) – 已添加托管策略 | IAM 为[集中管理成员账户的根访问](id_root-user.md#id_root-user-access-management)添加了托管策略，以限定您可以对 Amazon Organizations 成员账户执行的特权任务的范围。 | 2024 年 11 月 14 日 | 
| [SQSUnlockQueuePolicy](https://console.amazonaws.cn/iam/home#policies/SQSUnlockQueuePolicy) – 已添加托管策略 | IAM 为[集中管理成员账户的根访问](id_root-user.md#id_root-user-access-management)添加了托管策略，以限定您可以对 Amazon Organizations 成员账户执行的特权任务的范围。 | 2024 年 11 月 14 日 | 
| [AccessAnalyzerServiceRolePolicy](https://console.amazonaws.cn/iam/home#policies/AccessAnalyzerServiceRolePolicy) – 添加权限 | IAM Access Analyzer 向 AccessAnalyzerServiceRolePolicy 的服务级别权限添加了对检索 IAM 用户和角色标签信息的权限的支持。 | 2024 年 10 月 29 日 | 
| [AccessAnalyzerServiceRolePolicy](https://console.amazonaws.cn/iam/home#policies/AccessAnalyzerServiceRolePolicy) – 添加权限 | IAM Access Analyzer 向 AccessAnalyzerServiceRolePolicy 的服务级别权限添加了对检索 IAM 用户和角色策略信息的权限的支持。 | 2024 年 5 月 30 日 | 
| [AccessAnalyzerServiceRolePolicy](https://console.amazonaws.cn/iam/home#policies/AccessAnalyzerServiceRolePolicy) – 添加权限 | IAM Access Analyzer 向 AccessAnalyzerServiceRolePolicy 的服务级别权限添加了对检索阻止公开访问 Amazon EC2 快照当前状态权限的支持。 | 2024 年 1 月 23 日 | 
| [AccessAnalyzerServiceRolePolicy](https://console.amazonaws.cn/iam/home#policies/AccessAnalyzerServiceRolePolicy) – 添加权限 | IAM Access Analyzer 向 AccessAnalyzerServiceRolePolicy 的服务级别权限添加了对 DynamoDB 流和表的支持。 | 2024 年 1 月 11 日 | 
| [AccessAnalyzerServiceRolePolicy](https://console.amazonaws.cn/iam/home#policies/AccessAnalyzerServiceRolePolicy) – 添加权限 | IAM Access Analyzer 向 AccessAnalyzerServiceRolePolicy 的服务级别权限添加了对 Amazon S3 目录存储桶的支持。 | 2023 年 12 月 1 日 | 
|  [IAMAccessAnalyzerReadOnlyAccess](#security-iam-awsmanpol-IAMAccessAnalyzerReadOnlyAccess) – 添加权限  |  IAM Access Analyzer 添加了权限，让您可以检查策略更新是否授予额外的访问权限。 IAM Access Analyzer 需要此权限才能对您的策略执行策略检查。  | 2023 年 11 月 26 日 | 
| [AccessAnalyzerServiceRolePolicy](https://console.amazonaws.cn/iam/home#policies/AccessAnalyzerServiceRolePolicy) – 添加权限 | IAM Access Analyzer 将 IAM 操作添加到 AccessAnalyzerServiceRolePolicy 的服务级别权限，以支持以下操作：[\[See the AWS documentation website for more details\]](http://docs.amazonaws.cn/IAM/latest/UserGuide/security-iam-awsmanpol.html) | 2023 年 11 月 26 日 | 
| [AccessAnalyzerServiceRolePolicy](https://console.amazonaws.cn/iam/home#policies/AccessAnalyzerServiceRolePolicy) – 添加权限 | IAM Access Analyzer 在 AccessAnalyzerServiceRolePolicy 的服务级权限中附加支持以下资源类型：[\[See the AWS documentation website for more details\]](http://docs.amazonaws.cn/IAM/latest/UserGuide/security-iam-awsmanpol.html)  | 2022 年 10 月 25 日 | 
| [AccessAnalyzerServiceRolePolicy](https://console.amazonaws.cn/iam/home#policies/AccessAnalyzerServiceRolePolicy) – 添加权限 | IAM Access Analyzer 添加了对 AccessAnalyzerServiceRolePolicy 的服务级别权限的 lambda:GetFunctionUrlConfig 操作。 | 2022 年 4 月 6 日 | 
| [AccessAnalyzerServiceRolePolicy](https://console.amazonaws.cn/iam/home#policies/AccessAnalyzerServiceRolePolicy) – 添加权限 | IAM Access Analyzer 添加了新的 Amazon S3 操作来分析与多区域访问点关联的元数据。 | 2021 年 9 月 2 日 | 
|  [IAMAccessAnalyzerReadOnlyAccess](#security-iam-awsmanpol-IAMAccessAnalyzerReadOnlyAccess) – 添加权限  |  IAM Access Analyzer 添加了一个新操作以授予 `ValidatePolicy` 权限，以允许您使用策略检查进行验证。 IAM Access Analyzer 需要此权限才能对您的策略执行策略检查。  | 2021 年 3 月 16 日 | 
|  IAM Access Analyzer 开始跟踪更改  |  IAM Access Analyzer 开始为其 Amazon 托管策略跟踪更改。  | 2021 年 3 月 1 日 |