条件、通配符和策略变量

除了操作和资源之外，IAM 还提供了强大的工具，让策略更加精确且动态：条件、通配符和策略变量。掌握这些工具后，您就能在准确的情况下授予恰好所需的访问权限，这正是最小权限原则的核心，也是考试中反复出现的主题。

Condition 块包含一个或多个测试，所有测试都必须为真，语句才会生效。每个测试都会将一个运算符与一个条件键和值配对，例如对 aws:PrincipalTag 使用 StringEquals。一个块中的多个键以 AND 关系组合；同一个键的多个值以 OR 关系组合。

全局条件键在考试中经常出现：

• aws:SourceIp — 按调用方的 IP 范围进行限制。
• aws:SecureTransport — 要求使用 TLS。
• aws:MultiFactorAuthPresent — 要求使用 MFA。
• aws:PrincipalOrgID — 限制为您的组织。

特定服务的条件键（例如 s3:prefix）可以实现更精细的控制。

一种经典模式是：除非请求使用 TLS，否则拒绝访问。这种存储桶策略条件会阻止所有非 HTTPS 调用，确保传输中的数据始终经过加密。考试很喜欢用它来回答“要求 S3 传输加密”这一类问题。

运算符定义值的比较方式，包括：StringEquals、StringLike（支持通配符）、IpAddress、DateGreaterThan、Bool 和 Null 等。在运算符中加入 IfExists 后，即使键不存在，条件也会通过。选择正确的运算符对于实现预期逻辑至关重要。

通配符（* 表示任意长度的字符序列，? 表示一个字符）可以让策略更加简洁，但也可能授予过多权限。s3:Get* 涵盖所有读取类操作；s3:* 涵盖 S3 中的所有操作。请使用满足需求的最窄通配符，并且在审查任何策略时，对范围过大的通配符保持警惕。

资源 ARN 同样接受通配符，例如 arn:aws:s3:::logs/2024/* 可以将范围限制为一个前缀。这样，策略就能针对某个文件夹或模式，而不必列出每个对象。但仅使用 "*" 作为 Resource 会授予整个账户范围的访问权限，因此请始终确认这种广泛权限是否确实必要。

策略变量会使用 ${...} 语法在评估时插入请求上下文。最有用的变量是 ${aws:username}，它能让一条策略只授予每个用户访问其自身资源的权限。变量让同一条可复用策略可以根据主体不同而表现不同，从而优雅地扩展最小权限。

此语句允许每个用户仅管理位于以其用户名命名的文件夹下的对象，这是“一条策略供所有人使用”的强大模式。

基于属性的访问控制（ABAC）在条件中使用标签，将主体的标签（aws:PrincipalTag）与资源的标签（aws:ResourceTag）进行比较。两者匹配时，访问就会被授予。ABAC 具有出色的扩展性：您可以按标签授予访问权限，而不是为每个项目编写新策略，这是考试重点强调的现代最佳实践。

请有意识地组合使用这些工具：使用条件，根据 MFA、IP、TLS 或组织成员身份控制访问；谨慎且精确地使用通配符；使用策略变量和标签实现可扩展的、针对每个主体的最小权限。它们结合起来后，一条精心设计的策略就能在多个身份和资源之间实施精确、基于上下文的访问控制。

测试条件和变量。

条件使用 StringLike 和 Bool 等运算符，根据上下文键（aws:SourceIp、aws:SecureTransport、aws:MultiFactorAuthPresent、aws:PrincipalOrgID）控制语句是否生效。通配符（* 和 ?）可以让策略保持简洁，但可能授予过多权限。策略变量（如 ${aws:username}）和基于标签的 ABAC可以实现可扩展的、针对每个主体的最小权限。