本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用以資源為基礎的政策和資源控制政策來控制主控台存取

AWS Sign-In 支援以資源為基礎的政策和資源控制政策 (RCPs)，以控制對 AWS Sign-In 的存取。在身分驗證之前、期間和之後，使用這些政策在整個 AWS 管理主控台 存取過程中驗證使用者身分和網路位置。對於根使用者，這些政策會在憑證收集開始之前驗證網路位置和使用者身分。只有在存取來自預期的網路時，才能輸入登入資料。

AWS 以資源為基礎的登入政策：

資源控制政策 RCPs)：

這兩種政策類型都會在身分驗證之前驗證存取權。這會封鎖主體從非預期的網路存取登入頁面。

這些政策不會取代持續套用的 IAM 身分型政策。

AWS 以資源為基礎的登入政策和 RCPs 適用於下列身分驗證方法：

這些控制項不適用於使用存取金鑰 （以 SigV4 簽署AWS SDKs 或 API 呼叫） 的程式設計存取。 SigV4

AWS Sign-In 如何評估以資源為基礎的政策

AWS 登入會在主控台存取期間的兩個時間點評估適用的資源型政策或資源控制政策 (RCPs)：身分驗證前 （身分驗證前階段） 和身分驗證成功後 （身分驗證後階段）。每個評估都會檢查政策中定義的條件索引鍵。可用的金鑰取決於階段和動作。如需詳細資訊，請參閱支援的條件索引鍵。

身分驗證之後，評估也會考慮委託人的身分型政策。拒絕相關登入動作的 IAM 政策可能會阻止授予主控台工作階段，即使符合網路條件也一樣。

支援的動作

AWS 登入資源政策 （以資源為基礎的政策和 RCPs) 支援下列動作：

支援的條件索引鍵

AWS Sign-In 支援資源型政策和資源控制政策 (RCPs中的下列條件索引鍵。使用這些金鑰根據網路位置和主體身分來控制主控台存取：

如需詳細使用規則、運算子相容性、組合限制和依動作的可用性矩陣，請參閱 AWS 登入條件金鑰參考。

使用資源政策開始使用主控台存取控制

先決條件

--region us-east-1 為 AWS 登入政策上的所有寫入操作指定 。 會從此區域全域複 AWS 寫政策。讀取操作可以以任何區域為目標。

步驟 1：建立資源許可陳述式

建立定義存取控制的許可陳述式。所有寫入操作都需要 --region us-east-1( AWS Sign-In 服務僅接受此區域中的政策變更）。其餘參數 (--source-vpc、--source-ip--requested-region、、--excluded-principal) 定義政策中的條件。例如， 會將限制登入的條件--requested-region us-west-2新增至 us-west-2 區域登入端點。

範例 – 限制對公司 VPC 的存取：

aws signin put-resource-permission-statement \
  --source-vpc vpc-0abc123def456789 \
  --requested-region us-west-2 \
  --excluded-principal "arn:aws:iam::123456789012:user/EmergencyAdmin" \
  --client-token unique-request-id-12345 \
  --region us-east-1

範例 – 限制對特定 IP 範圍的存取：

aws signin put-resource-permission-statement \
  --source-ip "IP_ADDRESS" \
  --excluded-principal "arn:aws:iam::123456789012:role/BreakGlassRole" \
  --region us-east-1

步驟 2：啟用主控台授權組態

下列步驟會在您的帳戶或組織上啟用主控台登入程序的政策強制執行。您可以隨時建立資源許可陳述式，但在啟用主控台授權之前，不會對其進行評估。

對於獨立帳戶：

aws signin put-console-authorization-configuration \
  --target-id <your-aws-account-id> \
  --region us-east-1

對於 AWS Organizations：

aws signin put-console-authorization-configuration \
  --target-id <your-aws-organization-id> \
  --region us-east-1

驗證組態：

aws signin get-console-authorization-configuration \
  --target-id <your-target-id> \
  --region <your-region>

刪除主控台授權組態：

aws signin delete-console-authorization-configuration \
  --target-id <your-target-id> \
  --region us-east-1

步驟 3：驗證您的政策

列出所有許可陳述式：

aws signin list-resource-permission-statements \
  --max-results 50 \
  --region <your-region>

擷取完整的合併政策：

aws signin get-resource-policy \
  --region <your-region>

get-resource-policy 命令會傳回包含所有許可陳述式的完整資源型政策。在測試主控台存取之前，請檢閱此政策以確認其反映您預期的存取控制。

區域可用性

主控台授權 APIs適用於所有 AWS 商業區域。您可以從您操作的任何區域呼叫這些 APIs。

了解政策結構

AWS 登入政策包含兩個陳述式，可保護主控台登入流程的不同階段：

這兩個陳述式都是必要的，因為主控台登入使用 OAuth 2.0，它會依序流經所有三個動作。只有一個陳述式的政策會使另一個階段未受保護。 signin:PrincipalArn支援根使用者、IAM 使用者和角色委託人類型。 aws:PrincipalArn支援所有委託人類型 （根使用者、IAM 使用者、聯合身分使用者、角色）。

政策範例

範例 1：具有網路周邊和排除主體的 RCP

下列資源控制政策 (RCP) 拒絕從公司網路外部 AWS 管理主控台 跨組織中的所有帳戶登入。指定的排除主體可免除緊急存取。由於 VPC IDs是唯一的，因此政策包含第三個陳述式，將 VPC 型存取鎖定在預期區域內。

EnforceNetworkPerimeterPreAuth 陳述式使用 在預先驗證階段中signin:PrincipalArn排除排除的委託人。EnforceNetworkPerimeterPostAuth 陳述式會在身分驗證後aws:PrincipalArn使用 來排除排除的委託人。EnforceSourceVPCRegion 陳述式可確保請求區域符合 VPC 區域，限制對指定 VPC 之預期區域的存取。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "EnforceNetworkPerimeterPreAuth",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["signin:Authenticate"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "signin:PrincipalArn": [
            "arn:aws:iam::111122223333:root",
            "arn:aws:iam::444455556666:root",
            "arn:aws:iam::777788889999:user/EmergencyUser",
            "arn:aws:iam::777788889999:role/OrgBreakGlassRole"
          ]
        },
        "NotIpAddressIfExists": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringNotEquals": {
          "aws:SourceVpc": "<my-vpc>"
        }
      }
    },
    {
      "Sid": "EnforceNetworkPerimeterPostAuth",
      "Effect": "Deny",
      "Principal": "*",
      "Action": ["signin:CreateOAuth2Token", "signin:AuthorizeOAuth2Access"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "aws:PrincipalArn": [
            "arn:aws:iam::111122223333:root",
            "arn:aws:iam::444455556666:root",
            "arn:aws:iam::777788889999:user/EmergencyUser",
            "arn:aws:iam::777788889999:role/OrgBreakGlassRole"
          ]
        },
        "NotIpAddressIfExists": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringNotEquals": {
          "aws:SourceVpc": "<my-vpc>"
        }
      }
    },
    {
      "Sid": "EnforceSourceVPCRegion",
      "Effect": "Deny",
      "Principal": "*",
      "Action": [
        "signin:Authenticate",
        "signin:CreateOAuth2Token",
        "signin:AuthorizeOAuth2Access"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:SourceVpc": "<my-vpc>"
        },
        "StringNotEqualsIfExists": {
          "aws:RequestedRegion": "<my-vpc-region>"
        }
      }
    }
  ]
}

此政策：

範例 2：具有排除委託人之 IP 型存取的資源型政策

下列資源型政策會拒絕主控台存取從指定 IP 範圍之外發出請求的所有委託人，並排除 委託人。政策包含兩個陳述式：使用服務特定signin:PrincipalArn金鑰的驗證前陳述式，以及使用全域aws:PrincipalArn金鑰的驗證後陳述式。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:Authenticate"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "signin:PrincipalArn": "<excluded-principal-arn>"
        },
        "NotIpAddress": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringEquals": {
          "aws:ResourceAccount": "<my-aws-account-id>"
        }
      }
    },
    {
      "Effect": "Deny",
      "Principal": { "AWS": "*" },
      "Action": ["signin:CreateOAuth2Token", "signin:AuthorizeOAuth2Access"],
      "Resource": "*",
      "Condition": {
        "ArnNotEquals": {
          "aws:PrincipalArn": "<excluded-principal-arn>"
        },
        "NotIpAddress": {
          "aws:SourceIp": "<my-corporate-cidr>"
        },
        "StringEquals": {
          "aws:ResourceAccount": "<my-aws-account-id>"
        }
      }
    }
  ]
}

此政策：

最佳實務

設定排除的主體以進行緊急復原存取

AWS 建議在生產環境中強制執行主控台授權政策之前，設定至少一個排除的使用者。在預先驗證階段，signin:PrincipalArn條件金鑰會豁免根使用者、IAM 使用者和角色主體。在驗證後階段，aws:PrincipalArn條件索引鍵會排除所有委託人類型 （根使用者、IAM 使用者、聯合身分使用者、角色）。

排除的主體是選用的，但如果網路條件意外變更或政策設定錯誤，則省略它們會增加帳戶鎖定的風險。

建議的排除主體組態步驟：

維護復原存取路徑

除了上述排除的委託人之外，請確保在主控台授權政策意外封鎖登入時，提供替代的存取方法：

生產部署前測試

AWS 建議您在未徹底測試政策對帳戶的影響之前，不要將限制性 RCPs 連接到組織的根目錄。反之，請建立 OU，您可以將帳戶一次移入一個，或至少以小數字移動，以確保您不會不小心將使用者鎖定在金鑰帳戶之外。

測試工作流程：

深入defense-in-depth的設計

在更廣泛的安全策略中使用 AWS 以登入資源為基礎的政策和資源控制政策作為一層。 AWS 登入政策會根據網路位置和主體身分限制主控台存取。將它們與其他政策類型結合，以建立全面的存取控制：

持續監控和稽核

AWS CloudTrail 會自動記錄所有 AWS 登入政策評估和組態變更。在 CloudTrail 事件歷史記錄中檢視這些事件長達 90 天。如需更長的保留期，請透過建立線索將事件交付至 Amazon S3 （請參閱建立線索)。如需即時警示，請建立符合 AWS 登入事件的 Amazon EventBridge 規則、將線索設定為交付至 CloudWatch Logs 日誌群組，以用於指標篩選條件型警示，或將事件轉送至現有的 SIEM 解決方案。

使用案例

對主控台存取控制進行故障診斷

由於以資源為基礎的登入政策中的網路條件，我無法登入

當 AWS 登入政策拒絕存取時，您可能會看到下列其中一個錯誤訊息：

如果您看到任何這些錯誤，且認為應該允許存取，請聯絡您的 AWS 管理員。他們可以檢閱 CloudTrail 日誌中是否有errorMessage「因資源型政策而拒絕授權」或「因資源控制政策而拒絕授權」ConsoleLogin的事件，以識別哪些政策陳述式拒絕存取。

可能原因：

解決方法：

對於診斷此問題的管理員：

啟用主控台授權後，我的帳戶遭到鎖定

如果您已設定主控台授權，且 無法再存取您的帳戶，則在強制執行政策之前，您可能尚未設定排除的委託人。

有多個路徑可以重新取得存取權，具體取決於您的帳戶類型和可用的登入資料。

選項 1：使用程式設計存取 (AWS CLI 或 SDK)

主控台授權政策僅適用於互動式主控台登入。它們不適用於使用 SigV4 簽署的 API 請求。如果您有程式設計存取 （例如，現有的存取金鑰、跨帳戶角色），請使用它來呼叫signin:DeleteConsoleAuthorizationConfiguration和移除限制政策。您使用的登入資料必須具有呼叫 的許可signin:DeleteConsoleAuthorizationConfiguration。AWSSignInResourcePolicyManagement 受管政策包含此 permission. AWS recommends temporary credentials over long-term IAM user access key。對於成員帳戶，管理帳戶管理員可以在成員帳戶中擔任 OrganizationAccountAccessRole ，以取得臨時登入資料。此角色不會在受邀加入組織的帳戶中自動建立。

aws signin delete-console-authorization-configuration \
  --target-id <your-aws-account-id> \
  --region us-east-1

或刪除特定許可陳述式：

# First, list statements to get the statement ID
aws signin list-resource-permission-statements \
  --region us-east-1

# Then delete the problematic statement
aws signin delete-resource-permission-statement \
  --statement-id <statement-id> \
  --region us-east-1

選項 2：聯絡 AWS 支援

如果您沒有程式設計存取權，且無法使用 OrganizationAccountAccessRole 進行帳戶存取，請聯絡 AWS Support 以啟動鎖定復原程序。

復原程序的運作方式如下：

復原入口網站連結會在 AWS Support 共用 72 小時後過期。如果您沒有在該時段內完成復原，請聯絡 AWS Support 以重新啟動程序。

重新取得存取權之後：

我所做的變更不一定都會立刻生效

政策變更會全域複寫，但複寫可能需要幾分鐘的時間。

解決方法：

aws signin get-resource-policy --region <your-region>

常見的政策複寫問題：