以编程方式将所有 AWS 内联策略转换为当前 IAM 角色的托管策略

Question

目前我有数百个具有内联策略的 AWS IAM 角色。

我想以某种方式将这些内联策略转换为托管策略。

而AWS Documentation has a way to do this via the Console，这将非常耗时。

有没有人知道一种方法，或者有通过 BOTO 或 AWS CLI 执行此操作的脚本...或者指导我使用某种可以以编程方式执行此操作的方法？

提前致谢

Answer 1

boto3代码会是这样的

在此代码中，嵌入在指定 IAM 用户 中的内联策略将被复制到客户管理的策略。

注意删除部分被注释掉了

import json

import boto3

user_name = 'xxxxxxx'

client = boto3.client("iam")

response = client.list_user_policies(UserName=user_name)


for policy_name in response["PolicyNames"]:

    response = client.get_user_policy(UserName=user_name, PolicyName=policy_name)
    policy_document = json.dumps(response["PolicyDocument"])

    response = client.create_policy(
        PolicyName=policy_name, PolicyDocument=policy_document_json
    )

    # response = client.delete_user_policy(
    #     UserName=user_name,
    #     PolicyName=policy_name
    # )

更新：

对于 IAM 角色，将 User 更改为 Role，将 user 更改为 role（区分大小写）以上代码有效。

此外，如果你执行多个角色，使用list_roles得到role_name。

response=client.list_roles()

for i in response['Roles']:
    role_name = i['RoleName']
    # print(role_name)

Answer 2

使用@shimo 代码段，以下内容添加了错误处理并将新创建的托管策略附加到 IAM 角色：

import json
import boto3
from botocore.exceptions import ClientError

role_name = 'xxxxxxxx'
account_id = '123456789'

client = boto3.client("iam")
resource = boto3.resource('iam')

response = client.list_role_policies(RoleName=role_name)

for policy_name in response["PolicyNames"]:
    response = client.get_role_policy(RoleName=role_name, PolicyName=policy_name)
    policy_document = json.dumps(response["PolicyDocument"])
    print(policy_document)
    try:
        response = client.create_policy(
            PolicyName=policy_name, PolicyDocument=policy_document
        )
        print(policy_name + 'Policy Created')
    except ClientError as error:
        if error.response['Error']['Code'] == 'EntityAlreadyExists':
            print(policy_name + ' policy already exists')
        else:
            print("Unexpected error: %s" % error)

    policy_arn = f'arn:aws:iam::{account_id}:policy/{policy_name}'
    role = resource.Role(role_name)
    role.attach_policy(PolicyArn=policy_arn)

    response = client.delete_role_policy(
        RoleName=role_name,
        PolicyName=policy_name
    )

以编程方式将所有 AWS 内联策略转换为当前 IAM 角色的托管策略

Programmatically Convert all AWS inline policies to Managed Policies of current IAM Roles

amazon-web-services

amazon-iam