会话策略与基于标签的范围限定

有时您希望授予某个角色，但又想限制特定会话可以执行的操作，而不修改角色本身。会话策略和会话标签可以让您在担任角色的确切时刻缩小权限范围。这些高级 STS 功能支持精细且可扩展的最小权限控制，也是考试青睐的内容。

会话策略是通过 AssumeRole（经由 Policy 或 PolicyArns）传入的内联策略或托管策略。它不会授予新权限；它只能为该会话筛选角色已有的权限。最终有效权限是角色策略与会话策略的交集。

由于结果是交集，会话策略绝不可能让会话执行超出角色原本允许范围的操作。如果角色授予 s3:*，但会话策略只允许 s3:GetObject，那么该会话只能获取对象。因此，会话策略是一种安全的方式，可以从权限更广泛的角色中分发一部分范围更小的权限。

一种常见用法是：由编排工具担任一个功能强大的角色，并为每项任务附加会话策略，将该任务限制到一个存储桶或一个资源组。尽管底层角色权限很广，每个会话仍然具有严格限定的范围。这样可以避免创建数十个针对性很强的角色。

此 CLI 片段展示了如何传入内联会话策略，进一步限制会话权限。角色必须已经允许这些操作，这些限制才会生效。

会话标签是在调用 AssumeRole 时附加到会话的键值属性。它们通过 Tags 参数传入，成为请求上下文的一部分，并可通过 aws:PrincipalTag 在策略中读取。会话标签会将有关担任角色者的属性带入每个授权决策。

会话标签是被担任角色的基于属性的访问控制（ABAC）的基础。策略可以要求会话的 aws:PrincipalTag/Project 等于资源的 aws:ResourceTag/Project，仅在项目标签匹配时授予访问权限。这样一条策略就可以服务多个项目，并且能够平稳扩展。

角色形成链时，普通会话标签不会继续传递。将标签标记为可传递后，它就能在后续的角色担任操作中持续存在。这样可以确保原始用户所属部门等属性随着身份跨越多个跳转继续传递，这对于保持 ABAC 的一致性非常重要。

传递会话标签除了需要 sts:TagSession 权限，还需要 sts:AssumeRole 权限。信任策略还可以限制允许使用的标签键或值。控制谁可以设置哪些会话标签，可以防止用户通过自行分配特权标签值来获得访问权限。

会话策略和会话标签可以协同工作：标签通过 ABAC 匹配来表示会话代表的主体，而会话策略则限制会话可以执行的操作。二者结合后，一个权限范围较广的角色就能安全地服务于许多权限范围严格受限的会话，这正是考试所强调的优雅且可扩展的设计。

使用会话策略对每个会话的角色权限取交集并缩小范围，绝不能用来增加权限。使用会话标签（以及 sts:TagSession）通过 aws:PrincipalTag 驱动 ABAC；在角色链式切换时，将标签标记为可传递。这些 STS 功能可以通过少量可复用角色，为每个会话提供最小权限。

传递给 AssumeRole 的会话策略会与角色权限取交集，从而缩小权限范围，但绝不会扩大权限。会话标签（需要 sts:TagSession）通过 aws:PrincipalTag 为 ABAC 提供依据，而可传递标签会在角色链式切换过程中持续存在。二者结合后，只需少量可复用角色即可为每个会话提供最小权限。