IAM 的可用鍵 AWS OIDC聯盟的可用金鑰 SAML以 AWS STS 聯合為基礎的可用金鑰跨服務SAML型 AWS STS 聯合內容金鑰可用的按鍵 AWS STS

IAM和 AWS STS 條件上下文鍵

您可以使用JSON原則中的Condition元素來測試包含在所有要求之要 AWS 求內容中的索引鍵值。這些鍵提供有關請求本身或請求參考的資源的資訊。在允許使用者請求的動作之前，您可以檢查鍵是否有指定的值。這使您可以精確控制JSON政策聲明何時匹配或不匹配傳入請求。如需如何在JSON策略中使用Condition元素的詳細資訊，請參閱IAMJSON政策元素：Condition。

本主題說明服務 (含前置詞) 和 () IAM 服務 (含iam:前置詞AWS STS) 所定義及提供的sts:金鑰。 AWS Security Token Service 其他一些 AWS 服務也提供與該服務定義的動作和資源相關的服務特定金鑰。如需詳細資訊，請參閱AWS 服務的動作、資源和條件金鑰。支援條件鍵的服務文件通常包含其他資訊。例如，如需可在 Amazon S3 資源政策中使用之金鑰的資訊，請參閱 Amazon Simple Storage Service 使用者指南中的 Amazon S3 政策鍵。

IAM 的可用鍵

您可以在控制IAM資源存取的策略中使用下列條件金鑰：

IAM：AssociatedResourceArn

適用於ARN運營商。

指定目ARN的地服務與此角色相關聯的資源。資源通常屬於主體者傳遞角色的目標服務。有時候，資源也可能屬於第三個服務。例如，您可以將角色傳遞給他們在 Amazon EC2 執行個體上使用的 Amazon EC2 Auto Scaling。在這種情況下，條件將與 Amazon EC2 執行個體ARN的條件相符。

此條件索引鍵僅適用於策略中的PassRole動作。不能用來限制任何其他動作。

在政策中使用此條件鍵以允許實體傳遞角色，但只有在該角色與指定的資源相關聯時才行。您可以使用萬用字元 (*)，允許對特定類型的資源執行操作，而不限制區域或資源 ID。例如，您可以允許使用IAM者或角色將任何角色傳遞給 Amazon EC2 服務，以便與區域us-east-1或中的執行個體搭配使用us-west-1。不允許IAM使用者或角色將角色傳遞給其他服務。此外，它不允許 Amazon EC2 將角色用於其他區域中的執行個體。


{
    "Effect": "Allow",
    "Action": "iam:PassRole",
    "Resource": "*",
    "Condition": {
        "StringEquals": {"iam:PassedToService": "ec2.amazonaws.com"},
        "ArnLike": {
            "iam:AssociatedResourceARN": [
                "arn:aws:ec2:us-east-1:111122223333:instance/*",
                "arn:aws:ec2:us-west-1:111122223333:instance/*"
            ]
        }
    }
}

注意

AWS 支援 iam: 的服務PassedToService也支援此條件金鑰。

IAM：AWSServiceName

AWS STS 條件鍵	IdP 申請 JWT	工作階段中可用
amr	amr	是
aud	阿茲普如果未為設定任何值`azp`，則`aud`條件鍵會對應至`aud`宣告。	是
email	email	否
oaud	aud	否
sub	sub	是

AWS STS 條件鍵	IdP 申請 JWT	工作階段中可用
app_id	申請識別碼	是
sub	使用者 ID	是
user_id	使用者 ID	是

IAM和 AWS STS 條件上下文鍵

主題

IAM 的可用鍵

注意

注意

注意

AWS OIDC聯盟的可用金鑰

關於OIDC同盟的更多資訊

SAML以 AWS STS 聯合為基礎的可用金鑰

SAML角色信任原則

跨服務SAML型 AWS STS 聯合內容金鑰

注意

可用的按鍵 AWS STS

重要