允许用户创建具有特定 Policy/Roles 的 IAM 用户的 AWS IAM 策略

Question

我想创建一个允许创建具有有限权限或与创建它们的用户相同权限的 IAM 用户的策略。

基本上；我想允许一个用户创建另一个用户，但也想准确指定允许一个用户向另一个用户提供哪些策略。

例如；

我新建一个用户：用户A

用户 A 仅有权创建具有（同等）有限权限的新用户。

用户A新建用户：用户B

用户 B 仅具有与用户 A 相同的权限（或 fewer/different 权限）。

我想也许是资源部分的东西？例如

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowUsersToPerformUserActions",
      "Effect": "Allow",
      "Action": [
        "iam:CreateUser",
      ],
      "Resource": "<Some Specific Policy>"
    },
  ]
}

Answer 1

您可以使用来自 AWS 安全令牌服务的 GetSessionToken 命令而不是创建新用户。

此命令允许任何用户创建临时凭据，具有与他们相同的权限，或权限范围低于他们自己的权限。（它永远不会拥有比请求用户更多的权限。）

临时凭证的有效期为15 分钟到 1 小时。

这些类型的凭据通常用于激活多重身份验证会话或为不受信任的应用程序创建临时凭据。

允许用户创建具有特定 Policy/Roles 的 IAM 用户的 AWS IAM 策略

AWS IAM Policy to allow user to create IAM User with specific Policy/Roles

amazon-web-services

amazon-iam