限制 IAM 用户可以创建的"users"数

Question

如何限制 IAM 用户可以创建的用户数。

例如：一个用户只能创建单个用户 A'

我尝试在效果中使用允许和拒绝标签，但它会拒绝用户创建。

我可以通过编程来处理这个问题，但这不是一个选项：可以通过 GUI 或 CLI 创建用户，我没有创建该用户的跟踪。

我想知道是否有可以限制 IAM 用户可以创建的用户数量的策略？

Answer 1

无法使用 IAM 策略。 "Action": "iam:CreateUser" Effect可以是已测试的"允许"或"拒绝"。您需要编写自定义代码来控制另一个 IAM 用户可以创建的 IAM 用户数。

Answer 2

正如阿塔尔所说，仅使用 IAM 是不可能的。我会说您可以读取CloudTrail日志，使用Lambda提取"创建用户"事件，将它们存储在数据库中，如果数量超过限制，则发送警报。它不会阻止它，但至少你会知道。