如何使用 StringLike OR 构造条件

Question

我的目标是允许对某些资源的读取访问权限并根据这些资源的标签修改对某些资源的访问权限。 我希望修改访问权限包括读取访问权限。 例如“ReadBy”和“ModifyBy”标签。

这是我想出的简化版本：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ScopedReadPermissionsForReadUsers",
      "Effect": "Allow",
      "Action": "ssm:GetParameter*",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "aws:ResourceTag/ReadBy": [
            "*${aws:userid}*"
          ]
        }
      }
    },
    {
      "Sid": "ScopedReadPermissionsForModifyUsers",
      "Effect": "Allow",
      "Action": "ssm:GetParameter*",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "aws:ResourceTag/ModifyBy": [
            "*${aws:userid}*"
          ]
        }
      }
    },
    {
      "Sid": "ScopedModifyPermissions",
      "Effect": "Allow",
      "Action": "ssm:PutParameter",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "aws:ResourceTag/ModifyBy": [
            "*${aws:userid}*"
          ]
        }
      }
    }
  ]
}

上面的代码按预期工作。 但是，我想避免重复ssm:GetParameters*权限，因为实际上它将是一个更长的操作列表，并且权限可能会不同步。 理想情况下，我会将 StringLike 下的条目 OR 放在一起，类似于以下内容，但我知道这并不像我认为的那样工作（如图所示）。

      "Condition": {
        "StringLike": {
          "aws:ResourceTag/ReadBy": [
            "*${aws:userid}*"
          ],
          "aws:ResourceTag/ModifyBy": [
            "*${aws:userid}*"
          ]
        }
      }

来源：IAM JSON 策略元素：条件运算符

同样，目标是允许只读通过访问ReadBy标签，然后让ModifyBy标签是从精确的权限ReadBy标签加上额外的修改权限。

有任何想法吗？