如何提高 IAM 使用者或角色的受管政策預設大小配額或字元數限制？

簡短說明

附加至 IAM 角色的受管政策配額上限為 25，而 IAM 使用者的上限為 20。受管政策的字元數上限為 6,144。若要檢視預設配額值與可調整的配額上限值，請參閱 IAM 資源配額資料表。

每個使用者、角色或群組的 IAM 受管政策預設配額為 10。若要提高使用者或角色的預設配額，您必須提交提高配額請求。您可以將使用者的預設配額提高至最多 20，並將角色的預設配額提高至最多 25。

注意：

• 您只能請求提高可調整的預設配額。
• IAM 提高配額請求僅適用於美國東部 (維吉尼亞北部) AWS 區域。

如需更多資訊，請參閱如何提高 IAM 配額？

解決方法

若 IAM 群組、使用者、角色或政策已達受管政策或字元數配額，請視需要使用以下因應措施。

IAM 使用者

建立更多 IAM 群組，並將受管政策附加至群組。

注意： 一個 IAM 使用者最多可以直接附加 20 個受管政策。一個 IAM 群組最多可以附加 10 個受管政策，而一個 IAM 使用者最多可以加入 10 個群組。因此，使用者可透過群組成員資格取得 100 個受管政策 (10 個群組 × 每個群組 10 個政策)。使用者可以直接附加 20 個政策。因此，受管政策總數上限為 120。

IAM 群組

建立另一個 IAM 群組。根據預設，每個 AWS 帳戶最多可有 300 個 IAM 群組。您可以將此上限提高至 500。將受管政策附加至 IAM 使用者，而非 IAM 群組。您最多可以將 25 個受管政策附加至 IAM 角色，並將 20 個受管政策附加至 IAM 使用者。

合併受管政策

將多個受管政策合併為單一政策。每個受管政策最多可新增 6,144 個字元。

減少受管政策的字元數

若要移除重複的權限：

• 合併所有具有相同 Effect 的動作。
• 合併資源和條件陳述式。
• 移除不必要的陳述式，例如 Sid。
• 對具有相同尾碼或前綴的動作使用萬用字元 (*)。

您也可以使用 NotAction 和 NotResource 政策元素來縮短政策。使用這些政策元素只列出少數不得相符的動作，而非列出一長串相符的動作。

使用內嵌政策，而非受管政策

您可以使用任意數量的內嵌政策，但政策大小總計不得超過字元數限制。IAM 內嵌政策的字元數限制為：使用者 2,048、角色 10,240，以及群組 5,120。

**重要：**最佳實務是使用受管政策，而非內嵌政策。

相關資訊

如何管理 AWS 服務配額？

請求提高配額

驗證您的配額請求