如何配置除了ssm之外，具有完全访问策略？

Question

【以下的问题经过翻译处理】 我想创建一个策略，赋予每个资源完全权限，除了ssm，因为对于ssm，我想给出一个条件。我想到了两种做法：

1. 创建一个策略，看起来像下面这样，但需要找到所有资源的名称。

```
   "iam:Add*",
   "iam:Create*",
   "iam:Deactivate*",
   "iam:Delete*",
   "iam:Detach*",
   "iam:Enable*",
   "iam:PassRole",
   "iam:Put*",
   "iam:Remove*",
   "iam:Resync*",
   "iam:Set*",
   "iam:Simulate*",
   "iam:Update*",
   "iam:Put*"
    ...
```

2. 通过完全权限拒绝访问 ssm，但 *仅当* 没有使用ssh文档时，因此我想应该像下面这样：

```
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor1",
            "Effect": "Deny",
            "Action": "ssm:StartSession",
            "Resource": [
                "arn:aws:ec2:*:*:instance/*"
            ],
            "Condition": {
                "BoolIfExists": {
                    "arn:aws:ssm:*:*:document/AWS-StartSSHSession": "false"
                }
            }
        }
    ]
}
```

但这似乎无效。

Answer

【以下的回答经过翻译处理】 系统管理器似乎不允许为条件键指定文档。
尝试IAM策略如何？

SessionDocumentAccessCheck可用于强制使用AWS-StartSSHSession。

```json
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "NotAction": [
                "ssm:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:StartSession",
            "Resource": [
                "arn:aws:ec2:*:*:instance/*",
                "arn:aws:ssm:*:*:document/AWS-StartSSHSession"
            ],
            "Condition": {
                "BoolIfExists": {
                    "ssm:SessionDocumentAccessCheck": "true"
                }
            }
        }
    ]    
}
```

如何配置除了ssm之外，具有完全访问策略？

相关内容