用于测试用户是否具有任务的所有权限的aws cli标志

Question

我正在使用aws ecs-cli up命令，并希望通过使用特定权限将调用者的角色/组限制为最低权限。

是否有一种标志或方法可以测试运行cli命令，以验证调用者是否拥有所有必需的权限，而不是iam:*

另外，有没有办法限制部分通配符资源的权限，例如，下面我设置了*，事先不知道全名，那么我可以添加myecs-*，这会在一定程度上限制资源吗？

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Stmt1555577550000",
      "Effect": "Allow",
      "Action": [
        "iam:CreateRole"
      ],
      "Resource": [
        "*"
      ]
    }
  ]
}  

Answer 1

验证您的AWS帐户中的IAM用户、组或角色是否具有所有必需的权限。以下是一些选项；

1. 使用来自亚马逊的基于Web-GUI的policy simulator。

1. 使用simulate-principal-policy aws cli命令，即aws iam simulate-principal-policy。此外，如果您想涵盖custom-policy，请使用aws cli命令，即aws iam simulate-custom-policy .

1. 使用基于python的aws-iam-tester命令。

您可以在资源或NotResource的IAM策略声明中使用通配符。请参考下面关于相同的参考；

1. IAM JSON policy elements - Resource.

1. This现有线程。