【以下的问题经过翻译处理】 您好!
假设我们为IAM用户设置了以下策略:
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"iam:GetUser",
"iam:CreateUser",
"iam:CreateAccessKey"
],
"Resource": "arn:aws:iam::*:user/iot.*"
},
{
"Sid": "VisualEditor1",
"Effect": "Allow",
"Action": "iam:AddUserToGroup",
"Resource": "arn:aws:iam::*:group/CUSTOMGROUP"
}
]
}
现在他应该能够为所有以“iot.”开头的IAM用户执行GetUser、CreateUser和CreateAccessKey。第二个规则应该允许他将IAM用户添加到组“CUSTOMGROUP”。
现在我希望用户只能将其他以“iot.”开头的IAM用户添加到组“CUSTOMGROUP”.怎么做呢?是否可以添加类似以下的内容:
"Condition": {"StringLike": {"iam:user": ["iot.*"]}}
但没有用...有什么可以实现的方式么?