Как пользоваться: Генератор политик AWS IAM
- Выберите IAM policy, чтобы привязать политику к пользователю или роли, или S3 bucket policy, чтобы привязать её к корзине.
- Укажите ID аккаунта и регион, чтобы ARN были полными.
- Добавляйте по одному разрешению для каждого сервиса кнопкой + Add permission: выберите уровень доступа (чтение, запись, полный) и имя ресурса — корзину, таблицу, очередь, функцию или секрет. Удалить разрешение можно кнопкой ×.
- Отметьте условия, например Require MFA или HTTPS only, затем скопируйте JSON или команду AWS CLI. Сначала исправьте всё, что отмечено в предупреждениях.
Минимальные права на практике
Политика IAM — это список выражений (statements): Effect (Allow или Deny), Action, на которые она распространяется, и Resource, к которым они применяются, при необходимости с Condition. Принцип наименьших привилегий означает, что выдаются только те действия, которые реально нужны нагрузке, и только для нужных ресурсов. Так утёкший ключ не сможет удалить вашу базу или прочитать все корзины.
- Избегайте
"Action": "*"и"Resource": "*": генератор предупреждает, когда выражение их использует. - S3 требует два вида ресурсов:
arn:aws:s3:::bucketдляListBucketиarn:aws:s3:::bucket/*для объектов. Генератор разделяет их автоматически. - Некоторые действия работают только с
*, напримерecr:GetAuthorizationToken. Для них создаётся отдельное выражение.
Политики корзин
Политика корзины (bucket policy) привязывается к самой корзине и указывает Principal — другой аккаунт, роль, CloudFront или всех. Рекомендуемая схема для сайтов — закрытая корзина, которую может читать только CloudFront с Origin Access Control, плюс выражение, запрещающее запросы по HTTP без шифрования. Публичное чтение требует отключения S3 Block Public Access, поэтому используйте его только для действительно публичных файлов.
Проверяйте политики перед продакшеном с помощью симулятора политик IAM и просматривайте доступы через IAM Access Analyzer. Похожие инструменты: Kubernetes YAML Generator, CORS Header Generator.
Также ищут как: iam policy generator, aws policy generator, генератор s3 bucket policy, минимальные права iam policy, iam policy json пример, aws iam policy example, dynamodb iam policy, lambda iam policy.
Инструменты, которые хорошо сочетаются с Генератор политик AWS IAM
- GitLab CI генератор — Выберите стек и получите рабочий .gitlab-ci.yml: установка с кешированием, джобы линтинга и тестов, сборка с артефактами, Docker-образ, который отправляется в реестр GitLab, или деплой в GitLab Pages.
- Генератор GitHub Actions — Выберите стек, триггеры и шаги, и вы получите закомментированный файл .github/workflows/ci.yml — установка, кеш, линтинг, тесты, сборка, матрица версий и необязательный деплой на GitHub Pages, Vercel или в реестр контейнеров.
- JSON форматтер — Вставьте JSON, чтобы отформатировать, минифицировать или проверить его.
- Валидатор YAML — Вставьте файл Docker Compose, манифест Kubernetes, workflow GitHub Actions или любой YAML, чтобы найти ошибку, поймать типичные ловушки и получить аккуратно отформатированную версию.