amazon-web-services - IAM 政策变量

Question

我对策略变量“${aws:username}”感到困惑，即它是我登录 AWS 账户时使用的 IAM 用户名，还是我在创建实例时在标签中手动输入的标签值。

实际上，我想实现 ec2 实例的唯一所有者应该执行操作，而其他人应该被拒绝。以下政策应该有效吗？

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:*"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringEquals": {
                    "ec2:ResourceTag/Owner": "${aws:username}"
                }
            }
        }
    ]
}

标签： amazon-web-servicesamazon-ec2amazon-iam

Answer 1

当 IAM 评估策略时，策略变量 ${aws:username} 将替换为当前 IAM 用户的友好名称。

https://aws.amazon.com/premiumsupport/knowledge-center/iam-ec2-resource-tags/

你的政策应该有效。