Cách dùng Công cụ tạo AWS IAM Policy
- Chọn IAM policy để gắn cho user hoặc role, hoặc S3 bucket policy để gắn cho bucket.
- Nhập ID tài khoản và region để các ARN được đầy đủ.
- Thêm mỗi dịch vụ một quyền bằng nút + Thêm quyền: chọn mức truy cập (đọc, ghi, toàn quyền) và tên tài nguyên — bucket, bảng, queue, function hoặc secret. Nhấn × để xóa một quyền.
- Đánh dấu các điều kiện như Yêu cầu MFA hoặc Chỉ HTTPS, sau đó sao chép JSON hoặc lệnh AWS CLI. Hãy xử lý các cảnh báo trước.
Quyền tối thiểu trong thực tế
Một IAM policy là danh sách các statement: một Effect (Allow hoặc Deny), các Action mà nó áp dụng và các Resource mà chúng tác động tới, có thể kèm theo các Condition. Quyền tối thiểu nghĩa là chỉ cấp những action mà workload thực sự cần, và chỉ trên những tài nguyên nó cần — để khi khóa bị lộ, kẻ xấu không thể xóa database hay đọc mọi bucket.
- Tránh dùng
"Action": "*"và"Resource": "*"; công cụ sẽ cảnh báo khi một statement dùng chúng. - S3 cần hai dạng tài nguyên:
arn:aws:s3:::bucketchoListBucketvàarn:aws:s3:::bucket/*cho object — công cụ tự động tách chúng. - Một số action chỉ hoạt động với
*, ví dụecr:GetAuthorizationToken; những action này sẽ có statement riêng.
Bucket policy
Một bucket policy được gắn vào bucket và chỉ định một Principal — tài khoản khác, một role, CloudFront hoặc tất cả mọi người. Cấu hình được khuyến nghị cho website là một bucket riêng tư mà chỉ CloudFront với Origin Access Control mới đọc được, kèm một statement từ chối các request HTTP thường. Muốn đọc công khai thì cần tắt S3 Block Public Access, vì vậy chỉ nên dùng cho các file thực sự công khai.
Hãy kiểm thử policy trước khi đưa lên production bằng IAM policy simulator, và rà soát quyền truy cập bằng IAM Access Analyzer. Xem thêm: Kubernetes YAML Generator, CORS Header Generator.
Cũng được tìm dưới tên: tạo aws iam policy, công cụ tạo iam policy, aws policy generator, tạo s3 bucket policy, iam policy quyền tối thiểu, iam policy json, ví dụ aws iam policy, dynamodb iam policy.
Các công cụ dùng kèm tốt với Công cụ tạo AWS IAM Policy
- Tạo GitLab CI — Chọn stack của bạn và nhận ngay file .gitlab-ci.yml chạy được: cài đặt với caching, job lint và test, build kèm artifacts, Docker image đẩy lên GitLab registry, hoặc deploy GitLab Pages — với rules giúp pipeline chạy cho merge request và nhánh mặc định mà không bị trùng lặp.
- GitHub Actions Generator — Chọn công nghệ, trigger và các bước, bạn sẽ nhận được file .github/workflows/ci.yml có chú thích — gồm cài đặt, cache, lint, test, build, ma trận phiên bản và tùy chọn deploy lên GitHub Pages, Vercel hoặc container registry.
- Định dạng JSON — Dán JSON để định dạng đẹp, nén hoặc kiểm tra.
- Kiểm tra YAML — Dán file Docker Compose, manifest Kubernetes, workflow GitHub Actions hoặc bất kỳ YAML nào để xác định chính xác lỗi, phát hiện các lỗi thường gặp và nhận bản đã định dạng gọn gàng.