如何解决 IAM 錯誤「超出使用者或角色的政策大小上限 xxxxx 個位元組。」

簡短描述

將受管政策附加到 IAM 角色或使用者中的上限為 20。受管理政策的最大字元大小限制為 6,144。如需詳細資訊，請參閱 IAM 物件配額以及 IAM 和 AWS STS 配額名稱要求以及字元限制。

**注意：**受管理政策的預設限制為 10。若要將預設限制從 10 增加到最大值 20，您必須提交增加服務配額的請求。

解決方法

如果您達到 IAM 群組、使用者、角色或政策的受管政策或字元大小限制，請根據您的情況使用這些因應措施。

IAM 群組

建立另一個 IAM 群組。每個帳戶最多可有 300 個 IAM 群組。將受管政策附加到 IAM 使用者，而非 IAM 群組。您最多可以將 20 個受管政策附加至 IAM 角色和使用者。

IAM 使用者

建立更多的 IAM 群組，並將受管政策附加到群組。您可以將 IAM 使用者最多指派給 10 個群組。您也可以為每個群組附加最多 10 個受管政策，最多 120 個政策 (附加至 IAM 使用者的 20 個受管政策、10 個 IAM 群組每個群組各附加 10 個政策)。

合併受管理政策

將多個受管理的政策合併為單一政策。每個受管理政策最多可新增 6,144 個字元。

減少受管理政策的字元大小

透過結合所有效果相同的操作來刪除重複權限。結合資源和條件陳述式。刪除不必要的語句，如 Sid。對於具有相同尾碼或前置詞的動作，請使用萬用字元 (\ *)。

使用內嵌政策，而不使用受管政策

您可以根據需要使用任意數量的內嵌政策，但彙總政策大小不能超過字元配額。使用者的內嵌政策字元限制為 2,048 個，角色限制為 10,240 個，而群組限制為 5,120 個。

**重要：**最佳做法是使用客戶管理的政策，而不是內嵌政策。

相關資訊

內嵌政策

IAM 中的安全最佳做法

CIS AWS 基礎基準測試控制