amazon-web-services - 通过 IAM 策略中的条件检查用户是否是组的成员

Question

我有以下情况：默认情况下，允许用户执行sts:AssumeRole所有资源/角色。现在，我想拒绝stsAssumeRole特定资源/角色，除非访问的用户sts:AssumeRole是特定组的成员，即允许sts:AssumeRole该特定资源/角色的组。

是否可以在 AWS IAM 策略中完成这项工作？还是我应该研究其他技术？我正在考虑添加条件的原因是由于明确拒绝。

{
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "AllowAssumeRoleByDefault",
        "Effect": "Allow",
        "Action": "sts:AssumeRole",
        "Resource": [
            "arn:aws:iam::*:role/*"
        ]
    },
    {
        "Sid": "DenyAssumeRoleForKnownRoles",
        "Effect": "Deny",
        "Action": "sts:AssumeRole",
        "Resource": [
            "arn:aws:iam::{X}:role/A",
            "arn:aws:iam::{Y}:role/B",
            "arn:aws:iam::{Z}:role/C"
        ],
        "Condition": {
            "?": {?}
        }
    }
  ]
}

标签： amazon-web-servicesamazon-iam