本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用基于资源的策略和资源控制策略控制控制台访问权限

AWS Sign-In 支持基于资源的策略和资源控制策略 (RCP) 来控制访问权限。 AWS Sign-In使用这些策略在整个 AWS 管理控制台 访问过程中（在身份验证之前、期间和之后）验证用户身份和网络位置。对于根用户，这些策略在开始收集凭据之前会验证网络位置和用户身份。仅当访问来自预期网络时，才能输入凭据。

AWS Sign-In 基于资源的策略：

资源控制策略 (RCP)：

两种策略类型都会在身份验证之前验证访问权限。这会阻止主体从意想不到的网络访问登录页面。

这些策略不能取代基于 IAM 身份的策略，后者将继续适用。

AWS Sign-In 基于资源的策略和 RCP 适用于以下身份验证方法：

这些控制不适用于使用访问密钥（AWS SDK 或使用 SigV4 签名的 API 调用）进行编程访问。

操作方法 AWS Sign-In 评估基于资源的策略

AWS Sign-In 在控制台访问期间的两个时间点评估适用的基于资源的策略或资源控制策略 (RCP)：身份验证之前（预身份验证阶段）和成功身份验证之后（身份验证后阶段）。每次评估都会检查您的策略中定义的条件密钥。可用密钥取决于阶段和操作。有关更多信息，请参阅 支持的条件键。

身份验证后，评估还会考虑委托人基于身份的政策。拒绝相关登录操作的 IAM 政策可能会阻止控制台会话的授权，即使网络条件得到满足。

支持的操作

AWS Sign-In 资源策略（基于资源的策略和 RCP）支持以下操作：

支持的条件键

AWS Sign-In 支持基于资源的策略和资源控制策略 (RCP) 中的以下条件密钥。使用这些密钥根据网络位置和主体身份控制控制台访问权限：

有关详细的使用规则、操作员兼容性、组合限制和按操作划分的可用性矩阵，请参阅AWS Sign-In 条件键参考。

使用资源策略进行控制台访问控制入门

先决条件

--region us-east-1为 AWS Sign-In策略上的所有写入操作指定。 AWS 从该区域复制全球政策。读取操作可以针对任何区域。

步骤 1：创建资源权限声明

创建权限声明来定义您的访问控制。所有写入操作都需要--region us-east-1（该 AWS Sign-In 服务仅接受该地区的策略更改）。其余参数（--source-vpc--source-ip、--requested-region、、--excluded-principal）定义策略中的条件。例如，--requested-region us-west-2添加了限制登录到 us-west-2 区域登录终端节点的条件。

示例 — 限制对企业 VPC 的访问：

aws signin put-resource-permission-statement \
  --source-vpc vpc-0abc123def456789 \
  --requested-region us-west-2 \
  --excluded-principal "arn:aws:iam::123456789012:user/EmergencyAdmin" \
  --client-token unique-request-id-12345 \
  --region us-east-1

示例 — 限制对特定 IP 范围的访问：

aws signin put-resource-permission-statement \
  --source-ip "IP_ADDRESS" \
  --excluded-principal "arn:aws:iam::123456789012:role/BreakGlassRole" \
  --region us-east-1

第 2 步：启用控制台授权配置

以下步骤将在您的账户或组织上激活控制台登录流程的策略执行。可以随时创建资源权限声明，但在启用控制台授权之前，不会对其进行评估。

对于独立账户：

aws signin put-console-authorization-configuration \
  --target-id <your-aws-account-id> \
  --region us-east-1

对于 AWS 组织：

aws signin put-console-authorization-configuration \
  --target-id <your-aws-organization-id> \
  --region us-east-1

验证配置：

aws signin get-console-authorization-configuration \
  --target-id <your-target-id> \
  --region <your-region>

删除控制台授权配置：

aws signin delete-console-authorization-configuration \
  --target-id <your-target-id> \
  --region us-east-1

第 3 步：验证您的政策

列出所有权限声明：

aws signin list-resource-permission-statements \
  --max-results 50 \
  --region <your-region>

检索完整的合并策略：

aws signin get-resource-policy \
  --region <your-region>

该get-resource-policy命令返回完整的基于资源的策略，该策略由您的所有权限声明组成。在测试控制台访问权限之前，请查看此政策以确认其反映了您的预期访问控制。

区域可用性

所有 AWS 商业区域均提供控制台授权 API。您可以从您运营的任何地区调用这些 API。

了解政策结构

AWS Sign-In 策略包含两个保护控制台登录流程不同阶段的声明：

这两个语句都是必需的，因为控制台登录使用 OAuth 2.0，它按顺序执行所有三个操作。只有一个语句的策略会使另一个阶段处于不受保护状态。signin:PrincipalArn支持根用户、IAM 用户和角色主体类型。aws:PrincipalArn支持所有委托人类型（根用户、IAM 用户、联合用户、角色）。

策略示例

示例 1：具有网络边界且不包括主体的 RCP

以下资源控制策略 (RCP) 拒绝从公司网络外部 AWS 管理控制台 登录组织中的所有账户。指定的排除校长可免于紧急进入。由于 VPC ID 仅在一个区域内是唯一的，因此该政策包括第三条声明，用于 VPC-based 限制对预期区域的访问权限。

该EnforceNetworkPerimeterPreAuth声明用于在预身份验证阶段signin:PrincipalArn对排除在外的委托人进行豁免。该EnforceNetworkPerimeterPostAuth声明用于在身份验证后aws:PrincipalArn对排除在外的委托人进行豁免。该EnforceSourceVPCRegion声明确保请求区域与 VPC 区域相匹配，从而限制对指定 VPC 的预期区域的访问。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "EnforceNetworkPerimeterPreAuth",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["signin:Authenticate"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "signin:PrincipalArn": [
            "arn:aws:iam::111122223333:root",
            "arn:aws:iam::444455556666:root",
            "arn:aws:iam::777788889999:user/EmergencyUser",
            "arn:aws:iam::777788889999:role/OrgBreakGlassRole"
          ]
        },
        "NotIpAddressIfExists": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringNotEquals": {
          "aws:SourceVpc": "<my-vpc>"
        }
      }
    },
    {
      "Sid": "EnforceNetworkPerimeterPostAuth",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["signin:CreateOAuth2Token", "signin:AuthorizeOAuth2Access"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "aws:PrincipalArn": [
            "arn:aws:iam::111122223333:root",
            "arn:aws:iam::444455556666:root",
            "arn:aws:iam::777788889999:user/EmergencyUser",
            "arn:aws:iam::777788889999:role/OrgBreakGlassRole"
          ]
        },
        "NotIpAddressIfExists": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringNotEquals": {
          "aws:SourceVpc": "<my-vpc>"
        }
      }
    },
    {
      "Sid": "EnforceSourceVPCRegion",
      "Effect": "Deny",
      "Principal": "*",
      "Action": [
        "signin:Authenticate",
        "signin:CreateOAuth2Token",
        "signin:AuthorizeOAuth2Access"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:SourceVpc": "<my-vpc>"
        },
        "StringNotEqualsIfExists": {
          "aws:RequestedRegion": "<my-vpc-region>"
        }
      }
    }
  ]
}

本策略：

示例 2：不包括本金的 IP-based 准入 Resource-based 政策

以下基于资源的策略拒绝所有在指定 IP 范围之外提出请求的主体访问控制台，排除在外的主体除外。该策略包含两个语句：使用特定服务密钥的预身份验证语句和使用全局signin:PrincipalArn密钥的身份验证后语句。aws:PrincipalArn

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:Authenticate"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "signin:PrincipalArn": "<excluded-principal-arn>"
        },
        "NotIpAddress": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringEquals": {
          "aws:ResourceAccount": "<my-aws-account-id>"
        }
      }
    },
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:CreateOAuth2Token", "signin:AuthorizeOAuth2Access"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "aws:PrincipalArn": "<excluded-principal-arn>"
        },
        "NotIpAddress": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringEquals": {
          "aws:ResourceAccount": "<my-aws-account-id>"
        }
      }
    }
  ]
}

本策略：

最佳实践

为紧急恢复访问权限配置排除在外的委托人

AWS 建议在生产环境中强制执行控制台授权策略之前，至少配置一个排除的用户。在预身份验证阶段，signin:PrincipalArn条件密钥豁免根用户、IAM 用户和角色委托人。在身份验证后阶段，aws:PrincipalArn条件密钥豁免所有委托人类型（根用户、IAM 用户、联合用户、角色）。

排除的委托人是可选的，但是如果网络状况意外变化或策略配置错误，省略这些委托人会增加账户锁定的风险。

推荐的排除主配置步骤：

维护恢复访问路径

除了上述不包括的主体外，还要确保有其他访问方法可用，以防控制台授权策略意外阻止登录：

在生产部署之前进行测试

AWS 建议在未彻底测试该政策对账户的影响之前，不要将限制性的 RCP 附加到组织的根目录中。取而代之的是，创建一个 OU，一次可以将账户转移到一个账户中，或者至少少量移动，以确保你不会无意中将用户锁定在关键账户之外。

测试工作流程：

采用深度防御进行设计

使用 AWS Sign-In 基于资源的策略和资源控制策略作为更广泛的安全策略中的一层。 AWS Sign-In 策略根据网络位置和主体身份限制控制台访问权限。将它们与其他策略类型结合使用以创建全面的访问控制：

持续监控和审计

AWS CloudTrail 自动记录所有 AWS Sign-In 策略评估和配置更改。在 “事件历史记录” 中查看这些 CloudTrail 事件，最长可达 90 天。要延长保留时间，请通过创建跟踪将事件传输到 Amazon S3（请参阅创建跟踪）。要获得实时警报，请创建与 AWS Sign-In 事件匹配的 Amazon EventBridge 规则，将您的跟踪配置为将基于指标筛选的警报传送到 CloudWatch日志日志组，或者将事件转发到现有 SIEM 解决方案。

使用案例

控制台访问控制疑难解答

由于 Sign-in 基于资源的策略中的网络状况，我无法登录

当 AWS Sign-In 策略拒绝访问时，您可能会看到以下错误消息之一：

如果您发现其中任何错误并认为应该允许您访问，请联系您的 AWS 管理员。他们可以查看 errorMessage “由于资源策略导致授权被拒绝” 或 “由于资源控制策略导致授权被拒绝” ConsoleLogin 的事件 CloudTrail 日志，以确定哪个策略声明拒绝了访问。

可能的原因：

解决方法：

IAM 身份中心门户用户：通过 IAM 身份中心门户进行控制台访问目前与基于网络条件密钥限制访问的 AWS Sign-In 策略不兼容。要恢复用户在 IAM Identity Center 用户中的访问权限，请在您的策略中删除或调整基于网络的条件密钥，或引导这些用户通过其他身份验证方法登录。

对于诊断此问题的管理员：

启用主机授权后，我的账户被锁定了

如果您配置了控制台授权但无法再访问您的账户，则在强制执行该策略之前，您可能没有配置排除的委托人。

有多种途径可以重新获得访问权限，具体取决于您的账户类型和可用凭证。

选项 1：使用编程访问（AWS CLI 或 SDK）

控制台授权策略仅适用于交互式控制台登录。它们不适用于使用 SigV4 签名的 API 请求。如果您拥有编程访问权限（例如，现有访问密钥、跨账户角色），请使用它来调用signin:DeleteConsoleAuthorizationConfiguration和删除限制策略。您使用的凭证必须具有调用权限signin:DeleteConsoleAuthorizationConfiguration。AWSSignInResourcePolicyManagement托管策略包含此权限。 AWS 建议使用临时证书而不是长期 IAM 用户访问密钥。对于成员账户，管理账户管理员可以假设OrganizationAccountAccessRole成员账户获取临时证书。此角色不会在受邀加入组织的账户中自动创建。

aws signin delete-console-authorization-configuration \
  --target-id <your-aws-account-id> \
  --region us-east-1

或者删除特定的权限声明：

# First, list statements to get the statement ID
aws signin list-resource-permission-statements \
  --region us-east-1

# Then delete the problematic statement
aws signin delete-resource-permission-statement \
  --statement-id <statement-id> \
  --region us-east-1

选项 2：联系 AWS 支持部门

如果您没有编程访问权限且无法使用账户访问权限，请联系 AWS 支持部门启动锁定恢复流程。OrganizationAccountAccessRole

恢复过程如下所示：

恢复门户链接将在 AWS 支持部门共享 72 小时后过期。如果您未在该窗口内完成恢复，请联系 AWS 支持部门重新启动该过程。

重新获得访问权限后：

我所做的更改可能不会立即可见

策略更改会全局复制，但复制可能需要几分钟。

解决方法：

aws signin get-resource-policy --region <your-region>

常见的策略复制问题：