本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用基于资源的策略和资源控制策略控制控制台访问权限

AWS Sign-In 支持基于资源的策略和资源控制策略 (RCP) 来控制对的访问。 AWS Sign-In使用这些策略在整个 AWS 管理控制台 访问过程中（身份验证之前、期间和之后）验证用户身份和网络位置。对于 root 用户，这些策略会在开始收集凭据之前验证网络位置和用户身份。只有当访问来自预期的网络时，才能输入凭证。

AWS Sign-In 基于资源的政策：

资源控制策略 (RCP)：

两种策略类型均在身份验证之前验证访问权限。这会阻止委托人从意外网络访问登录页面。

这些策略不能取代继续适用的 IAM 基于身份的策略。

AWS Sign-In 基于资源的策略和 RCP 适用于以下身份验证方法：

这些控制不适用于使用访问密钥（AWS SDK 或 API 调用 Sigv4 签名）的编程访问。

操作方法 AWS Sign-In 评估基于资源的策略

AWS Sign-In 在控制台访问期间的两个时刻评估适用的基于资源的策略或资源控制策略 (RCP)：身份验证之前（身份验证前阶段）和成功身份验证之后（身份验证后阶段）。每次评估都会检查您的策略中定义的条件密钥。可用的按键取决于阶段和操作。有关更多信息，请参阅 支持的条件键。

身份验证后，评估还会考虑委托人的基于身份的策略。拒绝相关登录操作的 IAM 策略可能会阻止授予控制台会话，即使满足网络条件也是如此。

支持的操作

AWS Sign-In 资源策略（基于资源的策略和 RCP）支持以下操作：

支持的条件键

AWS Sign-In 支持基于资源的策略和资源控制策略 (RCP) 中的以下条件键。使用以下密钥根据网络位置和主体身份控制控制台访问权限：

有关详细的使用规则、操作员兼容性、组合限制和按操作划分的可用性矩阵，请参阅AWS Sign-In 条件键参考。

使用资源策略进行控制台访问控制台访问控制台入门

先决条件

--region us-east-1为 AWS Sign-In策略上的所有写入操作指定。 AWS 从该区域在全球范围内复制策略。读取操作可以针对任何区域。

步骤 1：创建资源权限声明

创建用于定义访问控制的权限声明。所有写入操作都需要--region us-east-1（该 AWS Sign-In 服务仅接受该区域的政策更改）。其余参数（--source-vpc--source-ip、--requested-region、、--excluded-principal）定义策略中的条件。例如，--requested-region us-west-2添加限制登录到 us-west-2 区域登录端点的条件。

示例-限制对企业 VPC 的访问：

aws signin put-resource-permission-statement \
  --source-vpc vpc-0abc123def456789 \
  --requested-region us-west-2 \
  --excluded-principal "arn:aws:iam::123456789012:user/EmergencyAdmin" \
  --client-token unique-request-id-12345 \
  --region us-east-1

示例-限制对特定 IP 范围的访问：

aws signin put-resource-permission-statement \
  --source-ip "IP_ADDRESS" \
  --excluded-principal "arn:aws:iam::123456789012:role/BreakGlassRole" \
  --region us-east-1

步骤 2：启用控制台授权配置

以下步骤将在您的账户或组织中激活控制台登录过程的策略强制执行。可以随时创建资源权限语句，但在启用控制台授权后才会对其进行评估。

对于独立账户：

aws signin put-console-authorization-configuration \
  --target-id <your-aws-account-id> \
  --region us-east-1

对于 AWS 组织：

aws signin put-console-authorization-configuration \
  --target-id <your-aws-organization-id> \
  --region us-east-1

验证配置：

aws signin get-console-authorization-configuration \
  --target-id <your-target-id> \
  --region <your-region>

删除控制台授权配置：

aws signin delete-console-authorization-configuration \
  --target-id <your-target-id> \
  --region us-east-1

第 3 步：验证您的政策

列出所有权限声明：

aws signin list-resource-permission-statements \
  --max-results 50 \
  --region <your-region>

检索完整的合并策略：

aws signin get-resource-policy \
  --region <your-region>

该get-resource-policy命令返回由您的所有权限声明组成的基于资源的完整策略。在测试控制台访问权限之前，请查看此政策以确认其反映了您的预期访问控制。

区域可用性

所有 AWS 商业区域均提供控制台授权 API。您可以从您运营的任何地区调用这些 API。

了解政策结构

AWS Sign-In 策略包含两个保护控制台登录流程不同阶段的声明：

这两个语句都是必需的，因为控制台登录使用 OAuth 2.0，它会按顺序执行所有三个操作。只有一条语句的策略会使另一个阶段处于不受保护状态。 signin:PrincipalArn支持根用户、IAM 用户和角色委托人类型。 aws:PrincipalArn支持所有委托人类型（根用户、IAM 用户、联合用户、角色）。

策略示例

示例 1：具有网络边界和排除主体的 RCP

以下资源控制政策 (RCP) 拒绝您组织中的所有账户从公司网络外部 AWS 管理控制台 登录。指定的被排除在外的校长可获得紧急访问豁免。由于 VPC ID 仅在一个区域内是唯一的，因此该策略包含第三条声明，用于锁定对预期区域的 VPC-based 访问权限。

该EnforceNetworkPerimeterPreAuth声明用于signin:PrincipalArn在预认证阶段豁免被排除的委托人。该EnforceNetworkPerimeterPostAuth语句aws:PrincipalArn用于在身份验证后豁免排除的主体。该EnforceSourceVPCRegion语句可确保请求区域与 VPC 区域匹配，从而限制对指定 VPC 的预期区域的访问。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "EnforceNetworkPerimeterPreAuth",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["signin:Authenticate"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "signin:PrincipalArn": [
            "arn:aws:iam::111122223333:root",
            "arn:aws:iam::444455556666:root",
            "arn:aws:iam::777788889999:user/EmergencyUser",
            "arn:aws:iam::777788889999:role/OrgBreakGlassRole"
          ]
        },
        "NotIpAddressIfExists": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringNotEquals": {
          "aws:SourceVpc": "<my-vpc>"
        }
      }
    },
    {
      "Sid": "EnforceNetworkPerimeterPostAuth",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["signin:CreateOAuth2Token", "signin:AuthorizeOAuth2Access"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "aws:PrincipalArn": [
            "arn:aws:iam::111122223333:root",
            "arn:aws:iam::444455556666:root",
            "arn:aws:iam::777788889999:user/EmergencyUser",
            "arn:aws:iam::777788889999:role/OrgBreakGlassRole"
          ]
        },
        "NotIpAddressIfExists": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringNotEquals": {
          "aws:SourceVpc": "<my-vpc>"
        }
      }
    },
    {
      "Sid": "EnforceSourceVPCRegion",
      "Effect": "Deny",
      "Principal": "*",
      "Action": [
        "signin:Authenticate",
        "signin:CreateOAuth2Token",
        "signin:AuthorizeOAuth2Access"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:SourceVpc": "<my-vpc>"
        },
        "StringNotEqualsIfExists": {
          "aws:RequestedRegion": "<my-vpc-region>"
        }
      }
    }
  ]
}

本策略：

示例 2：排除委托人的 IP-based 访问 Resource-based 策略

以下基于资源的策略拒绝所有从指定 IP 范围之外发出请求的委托人访问控制台，排除的主体除外。该策略包含两个语句：使用服务专用signin:PrincipalArn密钥的预身份验证语句和使用全局密钥的身份验证后语句。aws:PrincipalArn

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:Authenticate"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "signin:PrincipalArn": "<excluded-principal-arn>"
        },
        "NotIpAddress": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringEquals": {
          "aws:ResourceAccount": "<my-aws-account-id>"
        }
      }
    },
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:CreateOAuth2Token", "signin:AuthorizeOAuth2Access"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "aws:PrincipalArn": "<excluded-principal-arn>"
        },
        "NotIpAddress": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringEquals": {
          "aws:ResourceAccount": "<my-aws-account-id>"
        }
      }
    }
  ]
}

本策略：

最佳实践

为紧急恢复访问配置排除的主体

AWS 建议在生产环境中强制执行控制台授权策略之前，至少配置一个排除的用户。在预身份验证阶段，signin:PrincipalArn条件密钥可豁免根用户、IAM 用户和角色委托人。在身份验证后阶段，aws:PrincipalArn条件密钥豁免所有委托人类型（根用户、IAM 用户、联合用户、角色）。

排除的主体是可选的，但是如果网络条件意外变化或策略配置错误，则省略它们会增加账户被封锁的风险。

推荐的排除主体配置步骤：

维护恢复访问路径

除了上述排除的主体外，还要确保有其他访问方法可用，以防控制台授权策略意外阻止登录：

在生产部署之前进行测试

AWS 建议在未彻底测试该政策对账户的影响之前，不要将限制性的 RCP 附加到组织根部。取而代之的是，创建一个 OU，您可以将自己的账户逐个转移到一个账户中，或者至少可以少量移动，以确保您不会无意中将用户锁定在关键账户之外。

测试工作流程：

采用深度防御的设计

使用 AWS Sign-In 基于资源的策略和资源控制策略作为更广泛的安全策略中的一层。 AWS Sign-In 策略根据网络位置和主体身份限制控制台访问权限。将它们与其他策略类型结合使用以创建全面的访问控制：

持续监控和审计

AWS CloudTrail 自动记录所有 AWS Sign-In 策略评估和配置更改。在活动历史记录中查看这些 CloudTrail 事件，最长可保存 90 天。要延长保留期，请通过创建跟踪将事件传送到 Amazon S3（参见创建跟踪）。要获得实时警报，请创建与 AWS Sign-In 事件匹配的 Amazon EventBridge 规则，将您的跟踪配置为针对基于指标筛选器的警报发送到 CloudWatch日志日志组，或者将事件转发到现有的 SIEM 解决方案。

使用案例

控制台访问控制故障排除

由于 Sign-in 基于资源的策略中的网络状况，我无法登录

当 AWS Sign-In 策略拒绝访问时，您可能会看到以下错误消息之一：

如果您看到其中任何错误并认为应该允许您进行访问，请联系您的 AWS 管理员。他们可以查看带有 errorMessage “由于基于资源的策略而拒绝授权” 或 “由于资源控制策略而拒绝授权” ConsoleLogin 的事件 CloudTrail 日志，以确定哪个策略声明拒绝了访问。

可能的原因：

解决方法：

对于诊断此问题的管理员：

启用主机授权后，我的账户被锁定了

如果您配置了控制台授权，但无法再访问您的账户，则在实施该策略之前，您可能没有配置排除的委托人。

重新获得访问权限的途径有多种，具体取决于您的账户类型和可用凭证。

选项 1：使用编程访问权限（AWS CLI 或 SDK）

控制台授权策略仅适用于交互式控制台登录。它们不适用于使用 Sigv4 签名的 API 请求。如果您拥有编程访问权限（例如，现有访问密钥、跨账户角色），请使用它来调用signin:DeleteConsoleAuthorizationConfiguration和删除限制策略。您使用的凭证必须具有调用权限signin:DeleteConsoleAuthorizationConfiguration。AWSSignInResourcePolicyManagement托管策略包括此权限。 AWS 建议使用临时证书而不是长期 IAM 用户访问密钥。对于成员账户，管理账户管理员可以代OrganizationAccountAccessRole入成员账户以获取临时证书。此角色不会在受邀加入组织的账户中自动创建。

aws signin delete-console-authorization-configuration \
  --target-id <your-aws-account-id> \
  --region us-east-1

或者删除特定的权限声明：

# First, list statements to get the statement ID
aws signin list-resource-permission-statements \
  --region us-east-1

# Then delete the problematic statement
aws signin delete-resource-permission-statement \
  --statement-id <statement-id> \
  --region us-east-1

选项 2：联系 Suppor AWS t

如果您没有编程访问权限且无法使用帐户访问权限，请联系 Supp AWS ort 以启动锁定恢复流程。OrganizationAccountAccessRole

恢复过程如下所示：

恢复门户链接在 Support 共 AWS 享 72 小时后过期。如果您未在该窗口内完成恢复，请联系 Supp AWS ort 重新启动该过程。

重新获得访问权限后：

我所做的更改可能不会立即可见

策略更改会全局复制，但复制可能需要几分钟。

解决方法：

aws signin get-resource-policy --region <your-region>

常见的策略复制问题：