AliyunSTSAssumeRoleAccess是阿里云訪問控制自帶的一個(gè)權(quán)限策略笼裳，內(nèi)容為：
{
"Statement": [
{
"Action": "sts:AssumeRole",
"Effect": "Allow",
"Resource": "*"
}
],
"Version": "1"
}
根據(jù)文檔權(quán)限策略語法結(jié)構(gòu)可知，該策略賦給RAM用戶后歹颓，該用戶可以扮演阿里云所有角色菩颖，即便該角色所擁有的權(quán)限谤职，是RAM用戶本身所不擁有的，從嚴(yán)謹(jǐn)角度觸發(fā)齐莲，作為一個(gè)配置管理工程師當(dāng)然不允許這種情況出現(xiàn)痢站，經(jīng)過咨詢及實(shí)現(xiàn)，特提供如下方法选酗。
后文討論前提：限制RAM用戶在使用STS機(jī)制生成臨時(shí)權(quán)限token時(shí)阵难，僅限單OSS bucket
1、新建權(quán)限策略P1
{
"Version": "1",
"Statement": [
{
"Effect": "Allow",
"Action": "oss:*",
"Resource": [
"acs:oss:*:*:mybucket",
"acs:oss:*:*:mybucket/*"
]
}
]
}
此權(quán)限策略允許用戶對(duì)mybucket下所有對(duì)象進(jìn)行任意操作
2星掰、新建角色R1多望，賦予P1所配置的權(quán)限，并記錄R1的ARN值
3氢烘、新建權(quán)限策略P2
{
"Statement": [
{
"Action": "sts:AssumeRole",
"Effect": "Allow",
"Resource": [
"XXX"
]
}
],
"Version": "1"
}
其中XXX請(qǐng)?zhí)钊氩襟E2記錄的ARN值
