IAM 教程：根据标签定义访问 Amazon 资源的权限

1. 创建以下名为 access-assume-role 的客户托管策略。有关创建 JSON 策略的更多信息，请参阅创建 IAM 策略。

   ABAC 策略：代入任何 ABAC 角色，但前提是用户和角色标签匹配

   以下策略允许用户在您的账户中代入任何带有 access- 名称前缀的角色。还必须使用与用户相同的项目、团队和成本中心来标记角色。

   要使用此策略，请将示例策略中的斜体占位符文本替换为您的账户信息。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "TutorialAssumeRole",
               "Effect": "Allow",
               "Action": "sts:AssumeRole",
               "Resource": "arn:aws:iam::account-ID-without-hyphens:role/access-*",
               "Condition": {
                   "StringEquals": {
                       "iam:ResourceTag/access-project": "${aws:PrincipalTag/access-project}",
                       "iam:ResourceTag/access-team": "${aws:PrincipalTag/access-team}",
                       "iam:ResourceTag/cost-center": "${aws:PrincipalTag/cost-center}"
                   }
               }
           }
       ]
   }

   要将本教程扩展到大量用户，您可以将策略附加到一个组并将每个用户添加到该组。有关更多信息，请参阅 创建 IAM 组 和 编辑 IAM 组中的用户。

2. 创建以下 IAM 用户，附加 access-assume-role 权限策略。确保选择向用户提供对 Amazon Web Services Management Console 的访问权限，然后添加以下标签。

   用户名称	用户标签键	用户标签值
   access-Arnav-peg-eng	access-project access-team cost-center	peg eng 987654
   access-Mary-peg-qas	access-project access-team cost-center	peg qas 987654
   access-Saanvi-uni-eng	access-project access-team cost-center	uni eng 123456
   access-Carlos-uni-qas	access-project access-team cost-center	uni qas 123456

测试创建带有和不带有所需标签的密钥

1. 在您的主浏览器窗口中，仍以管理员用户身份登录，以便能在 IAM 中查看用户、角色和策略。使用浏览器无痕窗口或单独的浏览器来进行测试。在那里，以 access-Arnav-peg-eng IAM 用户的身份登录并打开 Secrets Manager 控制台，地址：https://console.aws.amazon.com/secretsmanager/。

2. 尝试切换到 access-uni-engineering 角色。

   此操作失败，因为 access-project 和 cost-center 标签值与 access-Arnav-peg-eng 用户和 access-uni-engineering 角色的不匹配。

   有关在 Amazon Web Services Management Console 中切换角色的更多信息，请参阅 从用户切换到 IAM 角色（控制台）。

3. 切换到 access-peg-engineering 角色。

4. 使用以下信息存储新密钥。要了解如何存储密钥，请参阅 Amazon Secrets Manager 用户指南中的创建基本密钥。

   重要

   Secrets Manager 会显示提醒，告知您没有权限使用与 Secrets Manager 配合使用的其他 Amazon 服务。例如，要创建 Amazon RDS 数据库凭证，您必须有权描述 RDS 实例、RDS 集群和 Amazon Redshift 集群。您可以忽略这些提醒，因为您没有使用本教程中的这些特定 Amazon 服务。

   1. 在 Select secret type (选择密钥类型) 部分中，选择 Other type of secrets (其他类型的密钥)。在两个文本框中，输入 test-access-key 和 test-access-secret。

   2. 为 Secret name (密钥名称) 字段输入 test-access-peg-eng。

   3. 从下表添加不同的标签组合，并查看预期行为。

   4. 选择 Store (存储) 以尝试创建密钥。当存储失败时，请返回之前的 Secrets Manager 控制台页面，并使用下表中的下一个标签集。允许使用最后一个标签集，并且将成功创建密钥。

   下表显示了 test-access-peg-eng 角色的 ABAC 标签组合。

   access-project 标签值	access-team 标签值	cost-center 标签值	其他标签	预期行为
   (无)	(无)	(无)	（无）	已拒绝，因为 access-project 标签值与角色的 peg 值不匹配。
   uni	eng	987654	（无）	已拒绝，因为 access-project 标签值与角色的 peg 值不匹配。
   peg	qas	987654	（无）	已拒绝，因为 access-team 标签值与角色的 eng 值不匹配。
   peg	eng	123456	（无）	已拒绝，因为 cost-center 标签值与角色的 987654 值不匹配。
   peg	eng	987654	所有者 = Jane	已拒绝，因为策略不允许额外的标签 owner，即使所有三个所需标签都存在且其值与角色的值匹配也是如此。
   peg	eng	987654	名字 = Jane	已允许，因为所有三个所需标签都存在且其值与角色的值匹配。此外，允许您包含可选的 Name 标签。

5. 注销并针对以下每个角色和标签值重复此过程的前三个步骤。在此过程的第四步中，测试所选的任何一组缺少的标签、可选标签、不允许的标签和无效的标签值。然后，使用所需的标签创建具有以下标签和名称的密钥。

   用户名称	角色名称	密钥名称	密钥标签
   access-Mary-peg-qas	access-peg-quality-assurance	test-access-peg-qas	access-project = peg access-team = qas cost-center = 987654
   access-Saanvi-uni-eng	access-uni-engineering	test-access-uni-eng	access-project = uni access-team = eng cost-center = 123456
   access-Carlos-uni-qas	access-uni-quality-assurance	test-access-uni-qas	access-project = uni access-team = qas cost-center = 123456

测试查看带有或不带有所需标签的密钥

1. 以下列某个 IAM 用户身份登录：

   • access-Arnav-peg-eng

   • access-Mary-peg-qas

   • access-Saanvi-uni-eng

   • access-Carlos-uni-qas

2. 切换到匹配的角色：

   • access-peg-engineering

   • access-peg-quality-assurance

   • access-uni-engineering

   • access-uni-quality-assurance

   有关在 Amazon Web Services Management Console中切换角色的更多信息，请参阅从用户切换到 IAM 角色（控制台）。

3. 在左侧导航窗格中，选择菜单图标以展开菜单，然后选择 Secrets (密钥)。

4. 无论您当前的角色如何，都应在表中看到所有四个密钥。这是预期情况，因为名为 access-same-project-team 的策略允许对所有资源执行 secretsmanager:ListSecrets 操作。

5. 选择其中一个密钥的名称。

6. 在密钥的详细信息页面上，您的角色标签将确定您是否能查看页面内容。将您的角色名称与您的密钥名称进行比较。如果它们共享同一团队名称，则 access-team 标签匹配。如果它们不匹配，则访问将被拒绝。

   下表显示每个角色的 ABAC 密钥查看行为。

   角色名称	密钥名称	预期行为
   access-peg-engineering	test-access-peg-eng	已允许
   	test-access-peg-qas	已拒绝
   	test-access-uni-eng	已允许
   	test-access-uni-qas	已拒绝
   access-peg-quality-assurance	test-access-peg-eng	已拒绝
   	test-access-peg-qas	已允许
   	test-access-uni-eng	已拒绝
   	test-access-uni-qas	已允许
   access-uni-engineering	test-access-peg-eng	已允许
   	test-access-peg-qas	已拒绝
   	test-access-uni-eng	已允许
   	test-access-uni-qas	已拒绝
   access-uni-quality-assurance	test-access-peg-eng	已拒绝
   	test-access-peg-qas	已允许
   	test-access-uni-eng	已拒绝
   	test-access-uni-qas	已允许

7. 从页面顶部的痕迹导航中，选择 Secrets (密钥) 以返回密钥列表。使用不同的角色重复此过程中的步骤来测试您是否能查看每个密钥。

向 Amazon 添加新项目

1. 以 IAM 管理员登录，然后通过以下网址打开 IAM 控制台：https://console.aws.amazon.com/iam/。

2. 在左侧导航窗格中，选择 Roles（角色），然后添加名为 access-cen-engineering 的 IAM 角色。将 access-same-project-team 权限策略附加到角色并添加以下角色标签：

   • access-project = cen

   • access-team = eng

   • cost-center = 101010

3. 在左侧导航窗格中，请选择用户。

4. 添加一个名为 access-Nikhil-cen-eng 的新用户，并附加名为 access-assume-role 的策略，然后添加以下用户标签。

   • access-project = cen

   • access-team = eng

   • cost-center = 101010

5. 使用步骤 4：测试创建密钥和步骤 5：测试查看密钥中的过程。在另一个浏览器窗口中，测试 Nikhil 是否能创建 Centaur 工程密钥并且是否能查看所有工程密钥。

6. 在您以管理员身份登录的主浏览器窗口中，选择用户 access-Saanvi-uni-eng。

7. 在 Permissions (权限) 选项卡上，删除 access-assume-role 权限策略。

8. 添加以下名为 access-assume-specific-roles 的内联策略。有关将内联策略添加到用户的更多信息，请参阅为用户或角色嵌入内联策略（控制台）。

   ABAC 策略：仅代入特定角色

   此策略允许 Saanvi 代入 Pegasus 或 Centaur 项目的工程角色。由于 IAM 不支持多值标签，因此有必要创建此自定义策略。不能使用 access-project = peg 和 access-project = cen 标记 Saanvi 用户。此外，Amazon 授权模型不能同时与这两个值匹配。有关更多信息，请参阅 在 IAM 和 Amazon STS 中进行标记的规则。相反，您必须手动指定她可以代入的两个角色。

   要使用此策略，请将示例策略中的斜体占位符文本替换为您的账户信息。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "TutorialAssumeSpecificRoles",
               "Effect": "Allow",
               "Action": "sts:AssumeRole",
               "Resource": [
                   "arn:aws:iam::account-ID-without-hyphens:role/access-peg-engineering",
                   "arn:aws:iam::account-ID-without-hyphens:role/access-cen-engineering"
               ]
           }
       ]
   }

9. 使用步骤 4：测试创建密钥和步骤 5：测试查看密钥中的过程。在另一个浏览器窗口中，确认 Saanvi 可以代入这两个角色。检查她是否只能根据角色的标签为项目、团队和成本中心创建密钥。此外，确认她能够查看有关工程团队拥有的所有密钥（包括她刚创建的密钥）的详细信息。

测试更新和删除带有和不带有所需标签的密钥

1. 以下列某个 IAM 用户身份登录：

   • access-Arnav-peg-eng

   • access-Mary-peg-qas

   • access-Saanvi-uni-eng

   • access-Carlos-uni-qas

   • access-Nikhil-cen-eng

2. 切换到匹配的角色：

   • access-peg-engineering

   • access-peg-quality-assurance

   • access-uni-engineering

   • access-peg-quality-assurance

   • access-cen-engineering

   有关在 Amazon Web Services Management Console中切换角色的更多信息，请参阅从用户切换到 IAM 角色（控制台）。

3. 对于每个角色，请尝试更新密钥描述，然后尝试删除以下密钥。有关更多信息，请参阅 Amazon Secrets Manager 用户指南中的修改密钥和删除和还原密钥。

   下表显示每个角色的 ABAC 密钥更新和删除行为。

   角色名称	密钥名称	预期行为
   access-peg-engineering	test-access-peg-eng	已允许
   	test-access-uni-eng	已拒绝
   	test-access-uni-qas	已拒绝
   access-peg-quality-assurance	test-access-peg-qas	已允许
   	test-access-uni-eng	已拒绝
   access-uni-engineering	test-access-uni-eng	已允许
   	test-access-uni-qas	已拒绝
   access-peg-quality-assurance	test-access-uni-qas	已允许