如何为 AWS 中的代入角色创建信任策略？

Question

我有两个账户，A 和 B。我也有两个角色，账户 A 中的 X 和账户 B 中的 Y。我在账户 A 中有一个服务，它在账户 A 中承担角色 X，然后我需要它来承担角色 Y在账户 B 中。承担角色的 ARN 如下所示：

arn:aws:sts::<account A>:assumed-role/<some string>/<some string>

我想将此 ARN 添加到账户 B 中角色 Y 的信任关系中。这是我尝试过的，但它告诉我invalid principal in policy

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:sts::<account A>:assumed-role/*/*"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

我究竟做错了什么？

Answer 1

根据此页面，我们不能在假定角色会话主体中使用通配符。

在 Principal 元素中指定假定角色会话时，不能使用通配符“*”来表示所有会话。 校长必须始终命名一个特定的会话。