对于 Terraform 用户，最好的内置 AWS 策略是什么？

Question

我正在为我的 Terraform IAM 用户寻找最好的内置 AWS 策略。

我正在使用 Terraform 在 AWS 中创建资源。 Terraform 通过 IAM 用户运行。

我需要这个 IAM 用户拥有最低权限，因为它可以在 AWS 中创建资源但没有管理员访问权限。

AWS 中是否有允许创建/销毁 AWS 资源的内置策略，而无需同时授予管理员访问权限。

我已经审查了这些角色，但没有发现任何明显适合的角色。

Answer 1

正确的策略将是允许 Terraform 对您需要的资源执行操作的策略。

内置的 AWS 策略通常是粗略的策略，无论如何都必须对其进行自定义，因为它们通常授予比您在最小权限环境中想要的更多的权限（例如删除资源的权限）； “最佳”策略和最佳实践将是您自己制定并明确定义权限的策略。

如果您确实需要使用 AWS 定义的策略，您可以使用具有所需权限的内置策略（包括管理员策略），并为您不希望 TF 执行的任何操作附加DENY语句。 需要明确的是，这不是最佳实践，并且考虑到 IAM 默认情况下被拒绝，这种方法几乎肯定比制定明确允许权限的策略更费力。