授予 IAM 用户完全访问权限

Question

IAM用户是否应该像这样说称为User1获得完全访问权限：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "*",
      "Resource": "*"
    }
  ]
}

它也可以用于创建亚马逊API调用吗？这是安全风险还是我应该创建另一个用户来访问 Amazpn API 网关？

Answer 1

切勿向 IAM 用户授予完全权限。很多事情都可能出错，是的，这很可能是一种安全风险。

如果您需要使用此 IAM 用户在 API 网关中管理（创建、配置或部署）您的 API，您可以为用户提供以下策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "apigateway:*"
      ],
      "Resource": "arn:aws:apigateway:*::/*"
    }
  ]
}

或者，如果您只需要调用 API，则可以使用此策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "execute-api:Invoke"
      ],
      "Resource": "arn:aws:execute-api:*:*:*"
    }
  ]
}