创建 IAM policy
策略是一个实体；在附加到身份或资源时，策略定义了它们的权限。您可以使用 AWS Management Console、AWS CLI 或 AWS API 在 IAM 中创建客户托管策略。客户管理型策略是您在自己的 AWS 账户 中管理的独立策略。然后，您可以将策略附加到您的 AWS 账户 中的身份（用户、组和角色）。
附加到 IAM 中的身份的策略称为基于身份的策略。基于身份的策略可以包括 AWS 托管策略、客户托管策略和内联策略。AWS 托管策略由 AWS 创建和管理。您可以使用它们，但无法管理它们。内联策略是您创建并直接嵌入到 IAM 组、用户或角色的策略。内联策略不能在其他身份上重复使用，也不能在它们所存在的身份之外托管。有关更多信息，请参阅添加和删除 IAM 身份权限。
使用客户管理型策略而不是内联策略。此外，最好使用客户托管策略而非 AWS 托管策略。AWS 托管策略通常提供广泛的管理权限或只读权限。为了获得最高安全性，请授予最低特权，即仅授予执行特定作业任务所需的权限。
创建或编辑 IAM policy 时，AWS 可以自动执行策略验证，以帮助您创建具有最低权限的有效策略。在 AWS Management Console 中，IAM 可识别 JSON 语法错误，而 IAM Access Analyzer 提供额外的策略检查和建议，以帮助您进一步优化策略。要了解策略验证的更多信息，请参阅 验证 IAM policy。要了解有关 IAM Access Analyzer 策略检查和可执行建议的更多信息，请参阅 IAM Access Analyzer 策略验证。
您可以使用 AWS Management Console、AWS CLI 或 AWS API 在 IAM 中创建客户托管策略。有关使用 AWS CloudFormation 模板添加或更新策略的更多信息，请参阅《AWS CloudFormation 用户指南》中的 AWS Identity and Access Management 资源类型参考。
